配置sqlnet.ora限制IP访问Oracle

--==========================
-- 配置sqlnet.ora 限制IP访问Oracle
--==========================

    与防火墙类似的功能，Oracle 提供限制与允许特定的IP或主机名通过Oracle Net来访问数据库。这个功能由sqlnet.ora配置文件来实
现。该文件通常$ORACLE_HOME/network/admin/ 目录下，与tnsnames.ora以及listener.ora位于同一路径。用法也比较简单。通过监听器的
限制，实现轻量级访问限制，比在数据库内部通过触发器进行限制效率要高。

1. 实现方式
    通过在sqlnet.ora文件中增加下列记录来实现      

tcp.validnode_checking = yes                            tcp.invited_nodes = (hostname1, hostname2，ip1,ip2)     
tcp.excluded_nodes = (10.103.11.17,hostname1,hostname2)

    当使用invited_nodes时，则所有没有包含在invited_nodes值中的IP或主机将无法通过Oracel Net连接到数据库。而如果使用
    excluded_nodes时，除了excluded_nodes值中列出的IP和主机不可访问之外，其余的节点都可以访问数据库。通常情况下，更倾向于使
    用excluded_nodes参数。

2. 注意事项
    使用excluded_nodes与invited_nodes的一些特性
        不支持通配符的使用(如hostname不能写为svhs0*，IP地址不能写为10.103.11.*）
        excluded_nodes与invited_nodes为互斥方式，要么使用前者，要么使用后者
        如果tcp.invited_nodes与tcp.excluded_nodes都存在，则tcp.invited_nodes优先
        要将本地地址，或者Cluster群集其他节点的地址都加入到允许列表，否则监听器可能无法启动
        修改之后，一定要重起监听或reload才能生效，而不需要重新启动数据库
        仅提供对TCP/IP协议的支持

3. 实战演习   

-->使用tnsping demo92，连接正常                                                                          C:\>tnsping demo92                                                                                                                                                                                            TNS Ping Utility for 32-bit Windows: Version 11.2.0.1.0 - Production on 25-JUN-2011 18:55:39           Copyright (c) 1997, 2010, Oracle.  All rights reserved.                                                Used parameter files:                                                                                  d:\app\Robinson\Oracle_client\product\11.2.0\client_1\network\admin\sqlnet.ora                                                                                                                                Used TNSNAMES adapter to resolve the alias                                                             Attempting to contact (DESCRIPTION = (ADDRESS_LIST = (ADDRESS = (PROTOCOL = TCP)(HOST = 10.103.11.20   9)(PORT = 1521))) (CONNECT_DATA = (SERVER = DEDICATED) (SERVICE_NAME = demo92)))                       OK (0 msec)                                                                                                                                                                                                  -->查看配置文件                                                                                          [oracle@test admin]$ more sqlnet.ora                                                                   # SQLNET.ORA Network Configuration File: /oracle/92/network/admin/sqlnet.ora                           # Generated by Oracle configuration tools.                                                                                                                                                                    NAMES.DIRECTORY_PATH= (ONAMES, TNSNAMES, HOSTNAME)                                                                                                                                                            #Added by Robinson                                                                                     tcp.validnode_checking = yes                                                                           tcp.excluded_nodes = (10.103.11.17)                                                                                                                                                                             -->重新reload                                                                                            [oracle@test admin]$ lsnrctl reload listener_demo92                                                                                                                                                           LSNRCTL for Linux: Version 9.2.0.8.0 - Production on 26-JUN-2011 10:03:11                                                                                                                                     Copyright (c) 1991, 2006, Oracle Corporation.  All rights reserved.                                                                                                                                           Connecting to (DESCRIPTION=(ADDRESS=(PROTOCOL=TCP)(HOST=test)(PORT=1521)))                             The command completed successfully                                                                                                                                                                              -->再次tnsping时，收到TNS-12547错误                                                                      C:\>tnsping demo92                                                                                                                                                                                            TNS Ping Utility for 32-bit Windows: Version 11.2.0.1.0 - Production on 25-JUN-2011 19:01:21           Copyright (c) 1997, 2010, Oracle.  All rights reserved.                                                Used parameter files:                                                                                  d:\app\Robinson\Oracle_client\product\11.2.0\client_1\network\admin\sqlnet.ora                                                                                                                                Used TNSNAMES adapter to resolve the alias                                                             Attempting to contact (DESCRIPTION = (ADDRESS_LIST = (ADDRESS = (PROTOCOL = TCP)(HOST = 10.103.11.20   9)(PORT = 1521))) (CONNECT_DATA = (SERVER = DEDICATED) (SERVICE_NAME = demo92)))                       TNS-12547: TNS:lost contact                                                                                                                                                                                    -->下面的演示中如果excluded_nodes与invited_nodes都存在，则invited_nodes优先，不再演示                    [oracle@test admin]$ more sqlnet.ora                                                                   # SQLNET.ORA Network Configuration File: /oracle/92/network/admin/sqlnet.ora                           # Generated by Oracle configuration tools.                                                                                                                                                                    NAMES.DIRECTORY_PATH= (ONAMES, TNSNAMES, HOSTNAME)                                                                                                                                                            #Added by Robinson                                                                                     tcp.validnode_checking = yes                                                                           tcp.excluded_nodes = (10.103.11.17)                                                                    tcp.invited_nodes = (10.103.11.17)                                                                     

4.使用触发器限制单用户或IP段   

-->限制单用户从单IP登录，下面限制scott用户从客户端的登录                    CREATE OR REPLACE TRIGGER disablelogin                                    AFTER logon ON scott.schema    -->注意使用方式为username.schema         DECLARE                                                                   ipaddr VARCHAR2(30);                                                    BEGIN                                                                     SELECT sys_context('userenv', 'ip_address')                             INTO   ipaddr                                                           FROM   dual;                                                            IF ipaddr = '10.103.11.17' THEN                                         raise_application_error('-20001',                                     'You can not login,Please contact administrator');              END IF;                                                                 END disablelogin;                                                         /                                                                                                                                                     -->限制IP段登录                                                             CREATE OR REPLACE TRIGGER chk_ip_range                                    AFTER logon ON scott.schema                                             DECLARE                                                                   ipaddr VARCHAR2(30);                                                    BEGIN                                                                     SELECT sys_context('userenv', 'ip_address')                             INTO   ipaddr                                                           FROM   dual;                                                            IF ipaddr LIKE ('10.103.11.%') THEN                                     raise_application_error('-20001',                                     'You can not login,Please contact administrator');              END IF;                                                                 END chk_ip_range;                                                         /                                                                         

5.更多参考

http://psoug.org/reference/net_services.html

http://forums.oracle.com/forums/thread.jspa?messageID=4566449

6.快捷参考

有关性能优化请参考

    Oracle硬解析与软解析

    共享池的调整与优化(Sharedpool Tuning)

    Buffercache 的调整与优化(一)

    Oracle表缓存(cachingtable)的使用

 

有关ORACLE体系结构请参考

    Oracle表空间与数据文件

    Oracle密码文件

    Oracle参数文件

    Oracle联机重做日志文件(ONLINE LOG FILE)

    Oracle控制文件(CONTROLFILE)

    Oracle归档日志

    Oracle回滚(ROLLBACK)和撤销(UNDO)

    Oracle数据库实例启动关闭过程

    Oracle10g SGA 的自动化管理

    Oracle实例和Oracle数据库(Oracle体系结构)

 

有关闪回特性请参考

    Oracle闪回特性(FLASHBACK DATABASE)

    Oracle闪回特性(FLASHBACK DROP & RECYCLEBIN)

    Oracle闪回特性(Flashback Query、FlashbackTable)

    Oracle闪回特性(Flashback Version、Flashback Transaction)

 

有关基于用户管理的备份和备份恢复的概念请参考

    Oracle冷备份

    Oracle热备份

    Oracle备份恢复概念

    Oracle实例恢复

    Oracle基于用户管理恢复的处理(详细描述了介质恢复及其处理)

    SYSTEM表空间管理及备份恢复

    SYSAUX表空间管理及恢复

 

有关RMAN的备份恢复与管理请参考

    RMAN 概述及其体系结构

    RMAN 配置、监控与管理

    RMAN 备份详解

    RMAN 还原与恢复

    RMANcatalog 的创建和使用

    基于catalog 创建RMAN存储脚本

基于catalog 的RMAN 备份与恢复

使用RMAN迁移文件系统数据库到ASM

    RMAN 备份路径困惑(使用plus archivelog时)

 

有关ORACLE故障请参考

    ORA-32004的错误处理

    ORA-01658错误

    CRS-0215错误处理

    ORA-00119，ORA-00132 错误处理

    又一例SPFILE设置错误导致数据库无法启动

    对参数FAST_START_MTTR_TARGET= 0 的误解及设定

    SPFILE错误导致数据库无法启动(ORA-01565)

 

有关ASM请参考

    创建ASM实例及ASM数据库

    ASM 磁盘、目录的管理

    使用 ASMCMD 工具管理ASM目录及文件

 

有关SQL/PLSQL请参考

    SQLPlus常用命令

    替代变量与SQL*Plus环境设置

    使用Uniread实现SQLplus翻页功能

    SQL 基础-->SELECT 查询

    SQL 基础--> NEW_VALUE的使用

    SQL 基础--> 集合运算(UNION与UNION ALL)

    SQL 基础--> 常用函数

    SQL 基础--> 视图(CREATEVIEW)

    SQL 基础--> 创建和管理表

    SQL 基础--> 多表查询

    SQL 基础--> 过滤和排序

    SQL 基础--> 子查询

    SQL 基础--> 分组与分组函数

    SQL 基础--> 层次化查询(STARTBY ... CONNECT BY PRIOR)

    SQL 基础--> ROLLUP与CUBE运算符实现数据汇总

    PL/SQL--> 游标

    PL/SQL--> 异常处理(Exception)

    PL/SQL--> 语言基础

    PL/SQL--> 流程控制

    PL/SQL--> PL/SQL记录

    PL/SQL--> 包的创建与管理

    PL/SQL--> 隐式游标(SQL%FOUND)

    PL/SQL--> 包重载、初始化

    PL/SQL--> DBMS_DDL包的使用

    PL/SQL--> DML 触发器

    PL/SQL--> INSTEAD OF 触发器

    PL/SQL--> 存储过程

    PL/SQL--> 函数

    PL/SQL--> 动态SQL

    PL/SQL--> 动态SQL的常见错误

 

有关ORACLE其它特性

    Oracle常用目录结构(10g)

    使用OEM,SQL*Plus,iSQL*Plus 管理Oracle实例

    日志记录模式(LOGGING、FORCE LOGGING 、NOLOGGING)

    表段、索引段上的LOGGING与NOLOGGING

    OralceOMF 功能详解

    Oracle用户、对象权限、系统权限  

    Oracle角色、配置文件

    Oracle分区表

    Oracle外部表

    使用外部表管理Oracle 告警日志(ALAERT_$SID.LOG)

    簇表及簇表管理(Index clustered tables)

    数据泵 EXPDP 导出工具的使用

    数据泵 IMPDP 导入工具的使用

    导入导出 Oracle 分区表数据

    SQL*Loader使用方法

    启用用户进程跟踪

    配置非默认端口的动态服务注册

    配置ORACLE 客户端连接到数据库

    systemsys，sysoper sysdba 的区别

    ORACLE_SID、DB_NAME、INSTANCE_NAME、DB_DOMIAN、GLOBAL_NAME

    Oracle补丁全集 (Oracle 9i 10g 11g Path)

    Oracle10.2.0.1 升级到10.2.0.4

    Oracle彻底 kill session