Подскажите пожалуйста, какие есть варианты ДИАГНОСТИКИ доступности брокера? Кроме nc -vz broker.example.com:9092 какие

есть альтернативы, если голый контейнер, почти ничего не установлено?

telnet на порт зукипера и потом srvr, чтобы проверить ответ от зукипера

а если kraft? там вообще ЗК может не быть в схеме

Рискну предположить, что все еще версия с зукипером) кто нибудь вообще kraft уже на породе использовал?

Не понимаю.

какой порт указан в конфигах для зукипера, если он есть?

Зачем мне zk вообще, мне надо сетевую связность с брокером из k8s/опеншифта проверить, все эти ингресы/istio/envoy/роуты/нетворкполиси

если у вас версия кафки с зукипером, то без поднятого зукипера кластер не соберётся и будет рефьюзить порты брокеров

Нет, стоп. С девелоперской машины брокеры отвечают, т.е. с самой Кафкой всё нормально. Теперь мне нужно узнать почему Kafka clients в поде сервиса сыпет Bootstrap broker broker1.example.com disconnected

Если сетевую связность, то достаточно порт простучать, т.е. curl -k, telnet, nc и т.п.

Понял, спасибо. Но если сеть будет настроена в одну сторону будет ошибка empty response. Верно? Или просто тишина (без ошибки, но и без вывода текста ответа сервера)?

А disconnected - это вообще выглядит не про сетевую связность вообще, а какие-то другие проблемы с коммуникацией. Аутентификация, авторизация, tls(ssl), и т.п.

Что значит "в одну сторону"? У вас "в одну сторону" могут быть разрешены соединения, но если оно устанавливается (а оно устанавливается), то сделать так, чтобы трафик по нему шёл только в одну сторону - это надо постараться.

да

например, нет маршрута для сервиса или сетевой политики, т.е. трафик выходит из пода, но обратно в него не попадает

А, ну это уже совсем сурово, но по идее, учитывая как работают все эти ваши опеншифты, в простом случае это было бы глобальной проблемой, затрагивающей всю инсталляцию, а в непростом - это реально надо постараться. Я бы попросить сетевиков в этот момент трафик помониторить и скинуть pcap-дамп, а дальше смотрел что там. Но сначала попытался исключить простые случаи типа косых настроек аутентификации / ссл (если есть).

а как курлом увидеть проблему TLS?

Там скорее openssl s_slient -connect ... -showcerts