Google Cloud在2026年9月10日为Managed Service for Apache Kafka加入公网集群能力。位于VPC之外的客户端现在可以通过互联网访问托管Kafka的bootstrap与broker端点，不再必须先接入Google Cloud私有网络。
公网可达简化了跨云、分支机构和外部数据源的接入，但并不意味着集群可以匿名开放。创建或更新公网集群时必须给出允许的源IPv4范围，所有连接仍要经过TLS和身份认证。
同一bootstrap地址同时服务内外网客户端
启用公网访问后，服务会为bootstrap端点和各个broker分配外部IPv4地址，并让集群DNS记录可以在公网解析。外部客户端继续使用原有bootstrap地址发现broker，不需要维护另一套Kafka入口名称。
连接到已关联子网的VPC客户端仍解析到私有端点，其他网络中的客户端则解析到公网端点。这种分离依赖split-horizon DNS，公网功能不会在用户项目中额外创建网络资源。
公网访问不会替代现有私网连接，而是在相同集群入口上增加外部可达路径。
源地址白名单只接受可路由IPv4
管理员至少要配置一个允许的源IP范围。每个范围必须使用IPv4 CIDR，掩码在/16到/32之间，范围之间不能重叠，并且必须是公网可路由地址。
RFC 1918私有地址会被拒绝，IPv6当前也不受支持。单个集群最多可以配置500个允许范围，适合为固定出口、合作方网关或跨云NAT地址建立精确白名单。
不要使用覆盖面过大的来源范围来换取接入便利，官方明确建议只允许可信的外部IP。
TLS加密和认证仍是强制要求
Google托管Kafka的公网连接全部使用TLS加密，客户端必须以IAM身份通过SASL认证，或者使用客户端证书完成mTLS认证。匿名连接不受支持，Kafka ACL仍可进一步限制主题和消费组操作。
采用mTLS时，集群可信任1到10个Certificate Authority Service CA池，并可通过SSL principal映射规则把较长的证书主体转换为便于ACL管理的名称。
源IP白名单只是网络层第一道边界，不能替代身份认证和Kafka ACL。
删除允许范围不会切断现有连接
Managed Service for Apache Kafka使用Cloud Next Generation Firewall限制公网来源。管理员可以随时添加或移除允许范围，但官方提醒，移除范围只作用于新连接，已经建立的TCP会话不会因此立即中断。
在凭据泄露或来源地址失陷等应急场景中，仅修改IP白名单可能无法立刻终止已有生产者和消费者。团队还应准备撤销IAM权限、证书或ACL，并按需要重启客户端连接。
安全响应流程必须同时覆盖网络规则和现有会话，不能把白名单更新当作即时断开开关。
公网地址变化要求自动更新外部防火墙
集群扩容或关闭后重新启用公网功能时，broker外部IPv4列表可能变化。服务会提供发现DNS记录，每条记录最多包含30个地址，外部FQDN防火墙可以据此自动更新规则。
发现DNS只用于帮助防火墙追踪地址变化，Kafka客户端仍应连接bootstrap地址。若外部网络使用出站防火墙，还要允许TCP 9092用于SASL，或TCP 9192用于mTLS。
上线验收应覆盖内外网DNS解析、TLS链路、认证、ACL以及地址变化后的防火墙同步。只有未知来源被拒绝、可信客户端可重连且扩容后规则仍有效，公网集群才算安全可用。
