即使 Kafka 提供 TLS/SSL 服务，Kafka 是否可以通过 TCP 与 ZooKeeper 通信？答案

【问题标题】：Can Kafka talk to ZooKeeper over TCP even if Kafka is serving TLS/SSL?即使 Kafka 提供 TLS/SSL 服务，Kafka 是否可以通过 TCP 与 ZooKeeper 通信？
【发布时间】：2018-07-24 16:11:46
【问题描述】：

我创建了一个 3 节点 ZK 集成，用作 Kafka 和（可能）其他服务的共识集群。

我还创建了一个单独的 2 节点 Kafka 代理集群，它使用这 3 个 ZK 进行领导者选举等。我已经用远程生产者和消费者测试了这个配置，它似乎工作得很好。

我现在想让我的 Kafka 代理需要 TLS/SSL，以便 Kafka 客户端有通过 SSL 证书进行通信。但我不想将我的 3 个 ZK 节点配置为需要 TLS。

我可以进行以下设置吗（？）：

Kafka Clients <---TLS---> Kafkas <---TCP---> ZK

或者我是否需要一直到 ZK 后端的 TLS？

【问题讨论】：

标签： security ssl apache-kafka apache-zookeeper

【解决方案1】：

是的，你可以。当您在 Kafka 中配置 SSL 时，该 SSL 仅适用于 Kafka 客户端到 Kafka 服务器以及可选的 Kafka 服务器之间。事实上，Zookeeper 3.4 还不支持客户端和服务器之间的 TLS 通信。 Zookeeper 3.5 中即将推出 Thay 功能。

【讨论】：

【解决方案2】：

此任务仍然可以通过以下步骤中提到的简单解决方法来完成；

安装zookeeper-3.5.1-alpha（使用.jar文件，3.5+版本即可）
在<kafka-installation-folder>\libs 中用/zookeeper-3.5.1-alpha/zookeeper-3.5.1-alpha.jar 替换默认的zookeeper*.jar
将/zookeeper-3.5.1-alpha/lib/netty-3.7.0.Final.jar 复制到<kafka-installation-folder>\libs
在 Zookeeper 上启用 SSL 的相关更改 (https://cwiki-test.apache.org/confluence/display/ZOOKEEPER/ZooKeeper+SSL+User+Guide)

【讨论】：