配置sqlnet.ora限制IP访问Oracle

--==========================
-- 配置sqlnet.ora 限制IP访问Oracle
--==========================

与防火墙类似的功能，Oracle 提供限制与允许特定的IP或主机名通过Oracle Net来访问数据库。这个功能由sqlnet.ora配置文件来实
现。该文件通常$ORACLE_HOME/network/admin/ 目录下，与tnsnames.ora以及listener.ora位于同一路径。用法也比较简单。通过监听器的
限制，实现轻量级访问限制，比在数据库内部通过触发器进行限制效率要高。

1. 实现方式
通过在sqlnet.ora文件中增加下列记录来实现

tcp.validnode_checking = yes                            
tcp.invited_nodes = (hostname1, hostname2，ip1,ip2)     
tcp.excluded_nodes = (10.103.11.17,hostname1,hostname2)	

当使用invited_nodes时，则所有没有包含在invited_nodes值中的IP或主机将无法通过Oracel Net连接到数据库。而如果使用
excluded_nodes时，除了excluded_nodes值中列出的IP和主机不可访问之外，其余的节点都可以访问数据库。通常情况下，更倾向于使
用excluded_nodes参数。

2. 注意事项
使用excluded_nodes与invited_nodes的一些特性
不支持通配符的使用(如hostname不能写为svhs0*，IP地址不能写为10.103.11.*）
excluded_nodes与invited_nodes为互斥方式，要么使用前者，要么使用后者
如果tcp.invited_nodes与tcp.excluded_nodes都存在，则tcp.invited_nodes优先
要将本地地址，或者Cluster群集其他节点的地址都加入到允许列表，否则监听器可能无法启动
修改之后，一定要重起监听或reload才能生效，而不需要重新启动数据库
仅提供对TCP/IP协议的支持

3. 实战演习

-->使用tnsping demo92，连接正常                                                                          
	C:\>tnsping demo92                                                                                     
	                                                                                                       
	TNS Ping Utility for 32-bit Windows: Version 11.2.0.1.0 - Production on 25-JUN-2011 18:55:39           
	Copyright (c) 1997, 2010, Oracle.  All rights reserved.                                                
	Used parameter files:                                                                                  
	d:\app\Robinson\Oracle_client\product\11.2.0\client_1\network\admin\sqlnet.ora                         
	                                                                                                       
	Used TNSNAMES adapter to resolve the alias                                                             
	Attempting to contact (DESCRIPTION = (ADDRESS_LIST = (ADDRESS = (PROTOCOL = TCP)(HOST = 10.103.11.20   
	9)(PORT = 1521))) (CONNECT_DATA = (SERVER = DEDICATED) (SERVICE_NAME = demo92)))                       
	OK (0 msec)		                                                                                         
                                                                                                         
-->查看配置文件                                                                                          
	[oracle@test admin]$ more sqlnet.ora                                                                   
	# SQLNET.ORA Network Configuration File: /oracle/92/network/admin/sqlnet.ora                           
	# Generated by Oracle configuration tools.                                                             
	                                                                                                       
	NAMES.DIRECTORY_PATH= (ONAMES, TNSNAMES, HOSTNAME)                                                     
	                                                                                                       
	#Added by Robinson                                                                                     
	tcp.validnode_checking = yes                                                                           
	tcp.excluded_nodes = (10.103.11.17)                                                                    
                                                                                                         
-->重新reload                                                                                            
	[oracle@test admin]$ lsnrctl reload listener_demo92                                                    
	                                                                                                       
	LSNRCTL for Linux: Version 9.2.0.8.0 - Production on 26-JUN-2011 10:03:11                              
	                                                                                                       
	Copyright (c) 1991, 2006, Oracle Corporation.  All rights reserved.                                    
	                                                                                                       
	Connecting to (DESCRIPTION=(ADDRESS=(PROTOCOL=TCP)(HOST=test)(PORT=1521)))                             
	The command completed successfully                                                                     
                                                                                                         
-->再次tnsping时，收到TNS-12547错误                                                                      
	C:\>tnsping demo92                                                                                     
	                                                                                                       
	TNS Ping Utility for 32-bit Windows: Version 11.2.0.1.0 - Production on 25-JUN-2011 19:01:21           
	Copyright (c) 1997, 2010, Oracle.  All rights reserved.                                                
	Used parameter files:                                                                                  
	d:\app\Robinson\Oracle_client\product\11.2.0\client_1\network\admin\sqlnet.ora                         
	                                                                                                       
	Used TNSNAMES adapter to resolve the alias                                                             
	Attempting to contact (DESCRIPTION = (ADDRESS_LIST = (ADDRESS = (PROTOCOL = TCP)(HOST = 10.103.11.20   
	9)(PORT = 1521))) (CONNECT_DATA = (SERVER = DEDICATED) (SERVICE_NAME = demo92)))                       
	TNS-12547: TNS:lost contact	                                                                           
                                                                                                         
-->下面的演示中如果excluded_nodes与invited_nodes都存在，则invited_nodes优先，不再演示                    
	[oracle@test admin]$ more sqlnet.ora                                                                   
	# SQLNET.ORA Network Configuration File: /oracle/92/network/admin/sqlnet.ora                           
	# Generated by Oracle configuration tools.                                                             
	                                                                                                       
	NAMES.DIRECTORY_PATH= (ONAMES, TNSNAMES, HOSTNAME)                                                     
	                                                                                                       
	#Added by Robinson                                                                                     
	tcp.validnode_checking = yes                                                                           
	tcp.excluded_nodes = (10.103.11.17)                                                                    
	tcp.invited_nodes = (10.103.11.17)                                                                     

4.使用触发器限制单用户或IP段

-->限制单用户从单IP登录，下面限制scott用户从客户端的登录                    
	CREATE OR REPLACE TRIGGER disablelogin                                    
		AFTER logon ON scott.schema    -->注意使用方式为username.schema         
	DECLARE                                                                   
		ipaddr VARCHAR2(30);                                                    
	BEGIN                                                                     
		SELECT sys_context('userenv', 'ip_address')                             
		INTO   ipaddr                                                           
		FROM   dual;                                                            
		IF ipaddr = '10.103.11.17' THEN                                         
			raise_application_error('-20001',                                     
						'You can not login,Please contact administrator');              
		END IF;                                                                 
	END disablelogin;                                                         
	/                                                                         
                                                                            
-->限制IP段登录                                                             
	CREATE OR REPLACE TRIGGER chk_ip_range                                    
		AFTER logon ON scott.schema                                             
	DECLARE                                                                   
		ipaddr VARCHAR2(30);                                                    
	BEGIN                                                                     
		SELECT sys_context('userenv', 'ip_address')                             
		INTO   ipaddr                                                           
		FROM   dual;                                                            
		IF ipaddr LIKE ('10.103.11.%') THEN                                     
			raise_application_error('-20001',                                     
						'You can not login,Please contact administrator');              
		END IF;                                                                 
	END chk_ip_range;                                                         
	/                                                                         

5.更多参考

http://psoug.org/reference/net_services.html

http://forums.oracle.com/forums/thread.jspa?messageID=4566449

6.快捷参考

有关性能优化请参考

Oracle硬解析与软解析

共享池的调整与优化(Sharedpool Tuning)

Buffercache 的调整与优化(一)

Oracle表缓存(cachingtable)的使用

有关ORACLE体系结构请参考

Oracle表空间与数据文件

Oracle密码文件

Oracle参数文件

Oracle联机重做日志文件(ONLINE LOG FILE)

Oracle控制文件(CONTROLFILE)

Oracle归档日志

Oracle回滚(ROLLBACK)和撤销(UNDO)

Oracle数据库实例启动关闭过程

Oracle10g SGA 的自动化管理

Oracle实例和Oracle数据库(Oracle体系结构)

有关闪回特性请参考

Oracle闪回特性(FLASHBACK DATABASE)

Oracle闪回特性(FLASHBACK DROP & RECYCLEBIN)

Oracle闪回特性(Flashback Query、FlashbackTable)

Oracle闪回特性(Flashback Version、Flashback Transaction)

有关基于用户管理的备份和备份恢复的概念请参考

Oracle冷备份

Oracle热备份

Oracle备份恢复概念

Oracle实例恢复

Oracle基于用户管理恢复的处理(详细描述了介质恢复及其处理)

SYSTEM表空间管理及备份恢复

SYSAUX表空间管理及恢复

有关RMAN的备份恢复与管理请参考

RMAN 概述及其体系结构

RMAN 配置、监控与管理

RMAN 备份详解

RMAN 还原与恢复

RMANcatalog 的创建和使用

基于catalog 创建RMAN存储脚本

基于catalog 的RMAN 备份与恢复

使用RMAN迁移文件系统数据库到ASM

RMAN 备份路径困惑(使用plus archivelog时)

有关ORACLE故障请参考

ORA-32004的错误处理

ORA-01658错误

CRS-0215错误处理

ORA-00119，ORA-00132 错误处理

又一例SPFILE设置错误导致数据库无法启动

对参数FAST_START_MTTR_TARGET= 0 的误解及设定

SPFILE错误导致数据库无法启动(ORA-01565)

有关ASM请参考

创建ASM实例及ASM数据库

ASM 磁盘、目录的管理

使用 ASMCMD 工具管理ASM目录及文件

有关SQL/PLSQL请参考

SQLPlus常用命令

替代变量与SQL*Plus环境设置

使用Uniread实现SQLplus翻页功能

SQL 基础-->SELECT 查询

SQL 基础--> NEW_VALUE的使用

SQL 基础--> 集合运算(UNION与UNION ALL)

SQL 基础--> 常用函数

SQL 基础--> 视图(CREATEVIEW)

SQL 基础--> 创建和管理表

SQL 基础--> 多表查询

SQL 基础--> 过滤和排序

SQL 基础--> 子查询

SQL 基础--> 分组与分组函数

SQL 基础--> 层次化查询(STARTBY ... CONNECT BY PRIOR)

SQL 基础--> ROLLUP与CUBE运算符实现数据汇总

PL/SQL--> 游标

PL/SQL--> 异常处理(Exception)

PL/SQL--> 语言基础

PL/SQL--> 流程控制

PL/SQL--> PL/SQL记录

PL/SQL--> 包的创建与管理

PL/SQL--> 隐式游标(SQL%FOUND)

PL/SQL--> 包重载、初始化

PL/SQL--> DBMS_DDL包的使用

PL/SQL--> DML 触发器

PL/SQL--> INSTEAD OF 触发器

PL/SQL--> 存储过程

PL/SQL--> 函数

PL/SQL--> 动态SQL

PL/SQL--> 动态SQL的常见错误

有关ORACLE其它特性

Oracle常用目录结构(10g)

使用OEM,SQL*Plus,iSQL*Plus 管理Oracle实例

日志记录模式(LOGGING、FORCE LOGGING 、NOLOGGING)

表段、索引段上的LOGGING与NOLOGGING

OralceOMF 功能详解

Oracle用户、对象权限、系统权限

Oracle角色、配置文件

Oracle分区表

Oracle外部表

使用外部表管理Oracle 告警日志(ALAERT_$SID.LOG)

簇表及簇表管理(Index clustered tables)

数据泵 EXPDP 导出工具的使用

数据泵 IMPDP 导入工具的使用

导入导出 Oracle 分区表数据

SQL*Loader使用方法

启用用户进程跟踪

配置非默认端口的动态服务注册

配置ORACLE 客户端连接到数据库

systemsys，sysoper sysdba 的区别

ORACLE_SID、DB_NAME、INSTANCE_NAME、DB_DOMIAN、GLOBAL_NAME

Oracle补丁全集 (Oracle 9i 10g 11g Path)

Oracle10.2.0.1 升级到10.2.0.4

Oracle彻底 kill session