Kafka SSL-безопасность Настройка, вызывающая проблему

Question

Я начну рассказывать, чего я пытаюсь достичь. Таким образом, моя установка:

1. 6 VM работает Ubuntu 14.04 Version. - В 3 из них у меня есть настройка Kafka, и в 3 я создал экземпляр zookeeper.

2. Я начинаю производство и потребляю, и все, кажется, отлично работают.

Теперь я хочу обеспечить настройку с помощью SSL, который придумал версию kafka 0.9. Я только хочу настроить SSL между клиентом и брокером kafka, чтобы они могли безопасно общаться. Я следовал следующему link.

Единственное изменение, которое я сделал: я заменил localhost IP-адресом брокера kafka, поскольку у меня есть 6 VM, работающих в одной сети.

Где я застрять после генерации сертификатов, когда я выполнить следующую команду:

openssl s_client -debug -connect localhost:9093 -tls1 

я получаю сообщение подключения:

Connection отказался подключения: ERRNO = 111

Я не знаю, как это сделать. Я пробовал поиск по документам, но ничего не мог сделать.

Также некоторые предложения, что будет идеальной настройкой для обеспечения безопасности, мой запрос: мне нужна только безопасная связь между клиентом kafka и брокерами, мне не нужно беспокоиться о связи kafka-to-kafka и kafka-to-zookeeper.

Просьба помочь, Vishesh.

Answer 1

После нескольких попыток и помощи от некоторых коллег я смог полностью настроить всю систему на порт 9093.

Что случилось с подписью сертификата. Поскольку у меня было 3 брокера kafka, поэтому я создал 3 разных CA, чтобы подписать сертификат, который был неправильным.

Что нужно сделать, так это то, что вам нужно иметь сертификат, подписанный одним и тем же СА во всех брокерах и клиентах, или если у вас есть другой сертификат или вы планируете использовать разные сертификаты для брокеров, вам нужно имеют корневой ЦС, который подписывает все остальные ЦС.

Вы можете прочитать об этом в иерархии доверия здесь: - https://msdn.microsoft.com/en-us/library/windows/desktop/aa382479(v=vs.85).aspx

Так что если вы сделали установку в одном брокера пользователя тот же са-CERT файла во всех других брокеров и клиентом договора на сертификат, и он будет работать. !!

Answer 2

Проверьте, открыты ли корпоративные порты, которые используются для SSL. Когда мы это сделали после долгих исследований, это была простая вещь.