Come verificare che SSL funzioni per Kafka

Question

Sono stato in grado di configurare SSL nei miei broker e client kafka e sono anche in grado di vedere che quando produciamo messaggi usando la porta 9093 che è la porta SSL i messaggi sono consumati da il consumatore.

Quello che ho provato è inviare un messaggio tramite la porta 9093 e il messaggio viene inviato al consumatore dal produttore.

Quello che voglio è un modo per verity se questo è effettivamente funzionante, voglio dire come posso dimostrare che 9092 non è SSL e 9093 è SSl e protetto?

Grazie in anticipo, Vishesh.

Answer 1

Abbiamo provato a configurare kafka con SSL e abbiamo affrontato lo stesso problema per verificare se funziona su SSL. Ho rimosso la voce listener PLAINTEXT e mantenuto la configurazione richiesta solo per SSL e testata. Siamo stati in grado di inviare e ricevere messaggi con SSL alla porta sicura 9093.

Nei registri fornisce un avviso, ma è per l'autenticazione del client, quindi non è un problema, una volta testato ho aggiunto di nuovo la voce PLAINTEXT.

io so che non è il modo migliore per testare, ma ha funzionato per me

Answer 2

Di seguito due modi possibile verificare l'impostazione di SSL.

1. -Djavax.net.debug=all Aggiungi questa proprietà in bin/kafka-run-class.sh nello stesso luogo come:

   if [ -z "$KAFKA_JMX_OPTS" ]; then 
       KAFKA_JMX_OPTS=" <**add here**> -Dcom.sun.management.jmxremote -Dcom.sun.management.jmxremote.authenticate=false -Dcom.sun.management.jmxremote.ssl=false " 
   fi 
   

   poi la coda del file di registro di Kafka broker, si dovrebbe vedere alcuni messaggi codificati.

2. Per verificare se chiavi del server e truststore sono configurato correttamente è possibile eseguire il seguente comando:

   openssl s_client -debug -connect localhost:9093 -tls1 
   

   Nota: TLSv1 dovrebbe essere elencato sotto ssl.enabled.protocols.

   Nel output di questo comando si dovrebbe vedere il certificato del server:

   -----BEGIN CERTIFICATE----- 
   {variable sized random bytes} 
   -----END CERTIFICATE----- 
   subject=/C=US/ST=CA/L=Santa Clara/O=org/OU=org/CN=Joe Smith 
   issuer=/C=US/ST=CA/L=Santa Clara/O=org/OU=org/CN=kafka/emailAddress=test@test.com 
   

   Se il certificato non risulta o se ci sono altri messaggi di errore allora il vostro keystore non è configurato correttamente.

Riferimento:

1. http://docs.confluent.io/2.0.0/kafka/ssl.html
2. https://github.com/Symantec/kafka-security-0.9

Answer 3

Quando si parla security.protocol = SSL, non c'è modo si può utilizzare l'altro protocollo. Per ulteriori prove, come menzionato sopra, puoi modificare kafka-run-class.sh per attivare il debug e verificare che gli handshake di ssl si ripetano e che i metadati siano inviati sul canale ssl.

Grazie Akash