189 8069 5689

【方法】如何限定IP访问Oracle数据库

【方法】如何限定IP访问Oracle数据库

成都创新互联公司服务项目包括昭苏网站建设、昭苏网站制作、昭苏网页制作以及昭苏网络营销策划等。多年来，我们专注于互联网行业，利用自身积累的技术优势、行业经验、深度合作伙伴关系等，向广大中小型企业、政府机构等提供互联网行业的解决方案，昭苏网站推广取得了明显的社会效益与经济效益。目前，我们服务的客户以成都为中心已经辐射到昭苏省份的部分城市，未来相信会继续扩大服务区域并继续获得客户的支持与信任！

 

1.1  BLOG文档结构图

【方法】如何限定IP访问Oracle数据库 

1.2  前言部分

1.2.1  导读和注意事项

各位技术爱好者，看完本文后，你可以掌握如下的技能，也可以学到一些其它你所不知道的知识，~O(∩_∩)O~：

①限定IP访问Oracle数据库的3种方法（重点）

②如何将信息写入到Oracle的告警日志中

③RAISE_APPLICATION_ERROR不能抛出错误到客户端环境

④系统触发器

⑤隐含参数：_system_trig_enabled

 

1.3  本文简介

本文详细介绍了3种限制IP地址登录Oracle数据库的办法。

1.3.1  本文实验环境介绍

项目

source db

db类型

RAC

db version

11.2.0.3.0

db存储

ASM

OS版本及kernel版本

RHEL 6.5

数据库服务器IP地址

192.168.59.130

客户端IP地址

192.168.59.1或192.168.59.129

1.4  限定IP访问Oracle数据库的3种办法

1.4.1  利用登录触发器

1.4.1.3  注意事项

需要注意的问题：

①触发的对象类型可以为DATABASE，也可以为“用户名.SCHEMA”，如：

AFTER LOGON ON DATABASE

AFTER LOGON ON SCOTT.SCHEMA

②当触发的对象类型为DATABASE的时候，登录用户不能拥有“ADMINISTER DATABASE TRIGGER”的系统权限；当触发的对象类型为“用户名.SCHEMA”的时候，登录用户不能拥有“ALTER ANY TRIGGER”的系统权限。否则，这些用户还是会正常登录到数据库，只是将相应的报错信息写入到告警日志中。所以，拥有IMP_FULL_DATABASE和DBA角色的用户以及SYS和EXFSYS用户将不能通过这种方式限制登录。

③隐含参数“_SYSTEM_TRIG_ENABLED”的默认值是TRUE，即允许DDL和系统触发器。当设置隐含参数“_SYSTEM_TRIG_ENABLED”为FALSE的时候，将禁用DDL和系统触发器。所以，当该值设置为FALSE的时候将不能通过这种方式限制登录。

1.4.2  利用sqlnet.ora

第二种是修改$ORACLE_HOME/network/admin/sqlnet.ora文件，增加如下内容：

TCP.VALIDNODE_CHECKING=YES  #开启IP限制功能

TCP.INVITED_NODES=(127.0.0.1,IP1,IP2,……)  #允许访问数据库的IP地址列表，多个IP地址使用逗号分开

TCP.EXCLUDED_NODES=(IP1,IP2,……) #禁止访问数据库的IP地址列表，多个IP地址使用逗号分开

之后重新启动监听器即可。这样客户端在登录的时候会报“ORA-12537: TNS:connection closed”的错误。

需要注意的问题：

①需要设置参数TCP.VALIDNODE_CHECKING为YES才能激活该特性。

②一定要许可或不要禁止数据库服务器本机的IP地址，否则通过lsnrctl将不能启动或停止监听，因为该过程监听程序会通过本机的IP访问监听器，而该IP被禁止了，但是通过服务启动或关闭则不影响。

③当参数TCP.INVITED_NODES和TCP.EXCLUDED_NODES设置的地址相同的时候以TCP.INVITED_NODES的配置为主。

④修改之后，一定要重起监听才能生效，而不需要重新启动数据库。

⑤这个方式只是适合TCP/IP协议。

⑥这个配置适用于Oracle9i以上版本。在Oracle9i之前的版本使用文件protocol.ora。

⑦在服务器上直接连接数据库不受影响。

⑧这种限制方式是通过监听器来限制的。

⑨这个限制只是针对IP检测，对于用户名检测是不支持的。

 

1.4.3  利用防火墙

第3种是修改数据库服务器的IPTABLES（配置文件：/etc/sysconfig/iptables）来限制某些IP登录数据库服务器。如下：

iptables -I INPUT -s 192.168.59.129 -j DROP

service iptables save

则，192.168.59.129这台主机将不能连接到数据库服务器了，会报“ORA-12170: TNS:Connect timeout occurred”的错误。

该部分可以参考网络配置，小麦苗从网上找了很多。

我们可以通过以下的iptables的设置来限制用户访问oracle所在linux操作系统的安全。

1、清楚操作系统默认的iptables策略

      我本机安装的是centos6.0,安装之后系统会提供iptables默认的policy策略,我们首先要清楚默认的策略

      iptables -F

2、开发22和1521端口对局域网的某个IP，在本例中客户端ip是192.168.1.125,oracle所在机器的IP是192.168.1.144,在这里，设置仅有该客户端可以访问22和1521端口，局域网内的其他IP都不允许访问，

    iptables -A INPUT -s 192.168.1.125/32 -i eth0 -p tcp  --dport 22 -j ACCEPT

    iptables -A INPUT -s 192.168.1.125/32 -i eth0 -p tcp  --dport 1521 -j ACCEPT

    iptables -A INPUT -s 192.168.1.0/24 -p tcp  --dport 22 -j DROP

    iptables -A INPUT -s 192.168.1.0/24 -p tcp  --dport 1521 -j DROP

    这样同一网段内除192.168.1.125之外其他IP都不能访问数据库服务器，即使ping命令也不可以

3、开发22和1521的OUTPUT链给192.168.1.125，否则已经启动的oracle instance的pmon进程无法动态注册到1521端口中

     iptables -A OUTPUT -d 192.168.1.125/32 -p tcp  --sport 22 -j ACCEPT

     iptables -A OUTPUT -d 192.168.1.125/32 -p tcp --sport 1521 -j ACCEPT

4、保存当前设置的iptables规则

      service iptables save

      这时系统会将已经设置的规则保存到/etc/sysconfig/iptables文件中

     否则重启之后之前设置的规则都会失效

 

先关闭所有的80端口

开启ip段192.168.1.0/24端的80口

开启ip段211.123.16.123/24端ip段的80口

# iptables -I INPUT -p tcp --dport 80 -j DROP

# iptables -I INPUT -s 192.168.1.0/24 -p tcp --dport 80 -j ACCEPT

# iptables -I INPUT -s 211.123.16.123/24 -p tcp --dport 80 -j ACCEPT

以上是临时设置。

1.先备份iptables

# cp /etc/sysconfig/iptables /var/tmp

2.然后保存iptables

# service iptables save

3.重启防火墙

#service iptables restart

以下是端口，先全部封再开某些的IP

iptables -I INPUT -p tcp --dport 9889 -j DROP

iptables -I INPUT -s 192.168.1.0/24 -p tcp --dport 9889 -j ACCEPT

如果用了NAT转发记得配合以下才能生效

iptables -I FORWARD -p tcp --dport 80 -j DROP

iptables -I FORWARD -s 192.168.1.0/24 -p tcp --dport 80 -j ACCEPT

常用的IPTABLES规则如下：

只能收发邮件，别的都关闭

iptables -I Filter -m mac --mac-source 00:0F:EA:25:51:37 -j DROP

iptables -I Filter -m mac --mac-source 00:0F:EA:25:51:37 -p udp --dport 53 -j ACCEPT

iptables -I Filter -m mac --mac-source 00:0F:EA:25:51:37 -p tcp --dport 25 -j ACCEPT

iptables -I Filter -m mac --mac-source 00:0F:EA:25:51:37 -p tcp --dport 110 -j ACCEPT

IPSEC NAT策略

iptables -I PFWanPriv -d 192.168.100.2 -j ACCEPT

iptables -t nat -A PREROUTING -p tcp --dport 80 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.2:80

iptables -t nat -A PREROUTING -p tcp --dport 1723 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.2:1723

iptables -t nat -A PREROUTING -p udp --dport 1723 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.2:1723

iptables -t nat -A PREROUTING -p udp --dport 500 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.2:500

iptables -t nat -A PREROUTING -p udp --dport 4500 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.2:4500

 

FTP服务器的NAT

iptables -I PFWanPriv -p tcp --dport 21 -d 192.168.100.200 -j ACCEPT

iptables -t nat -A PREROUTING -p tcp --dport 21 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.200:21

只允许访问指定网址

iptables -A Filter -p udp --dport 53 -j ACCEPT

iptables -A Filter -p tcp --dport 53 -j ACCEPT

iptables -A Filter -d www.3322.org -j ACCEPT

iptables -A Filter -d img.cn99.com -j ACCEPT

iptables -A Filter -j DROP

开放一个IP的一些端口，其它都封闭

iptables -A Filter -p tcp --dport 80 -s 192.168.100.200 -d www.pconline.com.cn -j ACCEPT

iptables -A Filter -p tcp --dport 25 -s 192.168.100.200 -j ACCEPT

iptables -A Filter -p tcp --dport 109 -s 192.168.100.200 -j ACCEPT

iptables -A Filter -p tcp --dport 110 -s 192.168.100.200 -j ACCEPT

iptables -A Filter -p tcp --dport 53 -j ACCEPT

iptables -A Filter -p udp --dport 53 -j ACCEPT

iptables -A Filter -j DROP

多个端口

iptables -A Filter -p tcp -m multiport --destination-port 22,53,80,110 -s 192.168.20.3 -j REJECT

连续端口

iptables -A Filter -p tcp -m multiport --source-port 22,53,80,110 -s 192.168.20.3 -j REJECT iptables -A Filter -p tcp --source-port 2:80 -s 192.168.20.3 -j REJECT

指定时间上网

iptables -A Filter -s 10.10.10.253 -m time --timestart 6:00 --timestop 11:00 --days Mon,Tue,Wed,Thu,Fri,Sat,Sun -j DROP

iptables -A Filter -m time --timestart 12:00 --timestop 13:00 --days Mon,Tue,Wed,Thu,Fri,Sat,Sun -j ACCEPT

iptables -A Filter -m time --timestart 17:30 --timestop 8:30 --days Mon,Tue,Wed,Thu,Fri,Sat,Sun -j ACCEPT

禁止多个端口服务

iptables -A Filter -m multiport -p tcp --dport 21,23,80 -j ACCEPT

将WAN口NAT到PC

iptables -t nat -A PREROUTING -i $INTERNET_IF -d $INTERNET_ADDR -j DNAT --to-destination 192.168.0.1

 

将WAN口8000端口NAT到192。168。100。200的80端口

iptables -t nat -A PREROUTING -p tcp --dport 8000 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.200:80

MAIL服务器要转的端口

iptables -t nat -A PREROUTING -p tcp --dport 110 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.200:110

iptables -t nat -A PREROUTING -p tcp --dport 25 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.200:25

只允许PING 202。96。134。133,别的服务都禁止

iptables -A Filter -p icmp -s 192.168.100.200 -d 202.96.134.133 -j ACCEPT

iptables -A Filter -j DROP

禁用BT配置

iptables –A Filter –p tcp –dport 6000:20000 –j DROP

禁用QQ防火墙配置

iptables -A Filter -p udp --dport ! 53 -j DROP

iptables -A Filter -d 218.17.209.0/24 -j DROP

iptables -A Filter -d 218.18.95.0/24 -j DROP

iptables -A Filter -d 219.133.40.177 -j DROP

基于MAC，只能收发邮件，其它都拒绝

iptables -I Filter -m mac --mac-source 00:0A:EB:97:79:A1 -j DROP

iptables -I Filter -m mac --mac-source 00:0A:EB:97:79:A1 -p tcp --dport 25 -j ACCEPT

iptables -I Filter -m mac --mac-source 00:0A:EB:97:79:A1 -p tcp --dport 110 -j ACCEPT

禁用MSN配置

iptables -A Filter -p udp --dport 9 -j DROP

iptables -A Filter -p tcp --dport 1863 -j DROP

iptables -A Filter -p tcp --dport 80 -d 207.68.178.238 -j DROP

iptables -A Filter -p tcp --dport 80 -d 207.46.110.0/24 -j DROP

只允许PING 202。96。134。133其它公网IP都不许PING

iptables -A Filter -p icmp -s 192.168.100.200 -d 202.96.134.133 -j ACCEPT

iptables -A Filter -p icmp -j DROP

禁止某个MAC地址访问internet:

iptables -I Filter -m mac --mac-source 00:20:18:8F:72:F8 -j DROP

禁止某个IP地址的PING:

iptables –A Filter –p icmp –s 192.168.0.1 –j DROP

禁止某个IP地址服务：

iptables –A Filter -p tcp -s 192.168.0.1 --dport 80 -j DROP

iptables –A Filter -p udp -s 192.168.0.1 --dport 53 -j DROP

只允许某些服务，其他都拒绝(2条规则)

iptables -A Filter -p tcp -s 192.168.0.1 --dport 1000 -j ACCEPT

iptables -A Filter -j DROP

禁止某个IP地址的某个端口服务

iptables -A Filter -p tcp -s 10.10.10.253 --dport 80 -j ACCEPT

iptables -A Filter -p tcp -s 10.10.10.253 --dport 80 -j DROP

禁止某个MAC地址的某个端口服务

iptables -I Filter -p tcp -m mac --mac-source 00:20:18:8F:72:F8 --dport 80 -j DROP

禁止某个MAC地址访问internet:

iptables -I Filter -m mac --mac-source 00:11:22:33:44:55 -j DROP

禁止某个IP地址的PING:

iptables –A Filter –p icmp –s 192.168.0.1 –j DROP

 

1.5  本文总结

在Oracle中，有3种办法可以限定特定IP访问数据库。第一种是利用登录触发器，如下：

CREATE OR REPLACE TRIGGER CHK_IP_LHR

  AFTER LOGON ON DATABASE

DECLARE

  V_IPADDR    VARCHAR2(30);

  V_LOGONUSER VARCHAR2(60);

BEGIN

  SELECT SYS_CONTEXT('USERENV', 'IP_ADDRESS'),

         SYS_CONTEXT('USERENV', 'SESSION_USER')

    INTO V_IPADDR, V_LOGONUSER

    FROM DUAL;

  IF V_IPADDR LIKE ('192.168.59.%') THEN

    RAISE_APPLICATION_ERROR('-20001', 'User '||V_LOGONUSER||' is not allowed to connect from '||V_IPADDR);

  END IF;

END;

/

 

需要注意的问题：

①触发的对象类型可以为DATABASE，也可以为“用户名.SCHEMA”，如：

AFTER LOGON ON DATABASE

AFTER LOGON ON SCOTT.SCHEMA

②当触发的对象类型为DATABASE的时候，登录用户不能拥有“ADMINISTER DATABASE TRIGGER”的系统权限；当触发的对象类型为“用户名.SCHEMA”的时候，登录用户不能拥有“ALTER ANY TIGGER”的系统权限。否则，这些用户还是会正常登录到数据库，只是将相应的报错信息写入到告警日志中。所以，拥有IMP_FULL_DATABASE和DBA角色的用户以及SYS和EXFSYS用户将不能通过这种方式限制登录。

③隐含参数“_SYSTEM_TRIG_ENABLED”的默认值是TRUE，即允许DDL和系统触发器。当设置隐含参数“_SYSTEM_TRIG_ENABLED”为FALSE的时候，将禁用DDL和系统触发器。所以，当该值设置为FALSE的时候将不能通过这种方式限制登录。

第二种是修改$ORACLE_HOME/network/admin/sqlnet.ora文件，增加如下内容：

TCP.VALIDNODE_CHECKING=YES  #开启IP限制功能

TCP.INVITED_NODES=(127.0.0.1,IP1,IP2,……)  #允许访问数据库的IP地址列表，多个IP地址使用逗号分开

TCP.EXCLUDED_NODES=(IP1,IP2,……) #禁止访问数据库的IP地址列表，多个IP地址使用逗号分开

之后重新启动监听器即可。这样客户端在登录的时候会报“ORA-12537: TNS:connection closed”的错误。

需要注意的问题：

①需要设置参数TCP.VALIDNODE_CHECKING为YES才能激活该特性。

②一定要许可或不要禁止数据库服务器本机的IP地址，否则通过lsnrctl将不能启动或停止监听，因为该过程监听程序会通过本机的IP访问监听器，而该IP被禁止了，但是通过服务启动或关闭则不影响。

③当参数TCP.INVITED_NODES和TCP.EXCLUDED_NODES设置的地址相同的时候以TCP.INVITED_NODES的配置为主。

④修改之后，一定要重起监听才能生效，而不需要重新启动数据库。

⑤这个方式只是适合TCP/IP协议。

⑥这个配置适用于Oracle9i以上版本。在Oracle9i之前的版本使用文件protocol.ora。

⑦在服务器上直接连接数据库不受影响。

⑧这种限制方式是通过监听器来限制的。

⑨这个限制只是针对IP检测，对于用户名检测是不支持的。

第3种是修改数据库服务器的IPTABLES（配置文件：/etc/sysconfig/iptables）来限制某些IP登录数据库服务器。如下：

iptables -A INPUT -s 192.168.59.1/32 -i eth0 -p tcp  --dport 1521 -j DROP

service iptables save

则，192.168.59.1这台主机将不能通过1521端口连接到数据库服务器了，会报“ORA-12170: TNS:Connect timeout occurred”的错误。

-------------------------------------------------------------------------

About Me

...............................................................................................................................

●本文作者：小麦苗，只专注于数据库的技术，更注重技术的运用

●本文在itpub（http://blog.itpub.net/26736162）、博客园（http://www.cnblogs.com/lhrbest）和个人微信公众号（xiaomaimiaolhr）上有同步更新

●本文itpub地址：http://blog.itpub.net/26736162/viewspace-2135609/

●本文博客园地址：http://www.cnblogs.com/lhrbest/p/6575975.html

●本文pdf版及小麦苗云盘地址：http://blog.itpub.net/26736162/viewspace-1624453/

● QQ群：230161599     微信群：私聊

●联系我请加QQ好友(642808185)，注明添加缘由

●于2017-03-18 08:00 ~ 2017-03-18 22:00 在泰兴公寓完成

●文章内容来源于小麦苗的学习笔记，部分整理自网络，若有侵权或不当之处还请谅解

●版权所有，欢迎分享本文，转载请保留出处

...............................................................................................................................

拿起手机使用微信客户端扫描下边的左边图片来关注小麦苗的微信公众号：xiaomaimiaolhr，扫描右边的二维码加入小麦苗的QQ群，学习最实用的数据库技术。

【方法】如何限定IP访问Oracle数据库【方法】如何限定IP访问Oracle数据库

 【方法】如何限定IP访问Oracle数据库cdn.qqmail.com/zh_CN/htmledition/p_w_picpaths/function/qm_open/ico_mailme_02.png">  【方法】如何限定IP访问Oracle数据库


当前文章：【方法】如何限定IP访问Oracle数据库
链接地址：http://cdxtjz.com/article/poeshj.html

其他资讯