oracle更改預設埠號，監聽器加密，限制ip訪問

oracle資料庫的安全包含兩部分：

1.一部分是os的安全

2.網路的安全

2.oracle軟體本身的安全

os的安全依賴相應的作業系統及管理員的技術水平，我們這裡只談談oracle的安全

我瞭解的oracle軟體的安全包含：

1.更改oracle的預設監聽埠號

2.給監聽器加密碼

3.oracle控制ip的連線

下面將針對這三個方面測試學習

---------oracle預設監聽埠更改--------------

1. 更改oracle的預設監聽埠號

修改埠號的整體步驟

1.1 。檢視當前監聽的狀態

1.2 。停止監聽

1.3 。修改監聽檔案的埠號

1.4 。修改初始化引數local_listener

1.5 . 重啟監聽器

1.6 。修改完畢，使用新埠登入測試

實踐步驟：

1.1 。檢視當前監聽的狀態

C:\Documents and Settings\skate_db>lsnrctl status

LSNRCTL for 32-bit Windows: Version 10.2.0.1.0 - Production on 19-7月 -2008 12:1

1:19

正在連線到 (DESCRIPTION=(ADDRESS=(PROTOCOL=IPC)(KEY=EXTPROC1)))

LISTENER 的 STATUS

------------------------

別名 LISTENER

版本 TNSLSNR for 32-bit Windows: Version 10.2.0.1.0 - Produ

ction

啟動日期 19-7月 -2008 11:47:59

正常執行時間 0 天 0 小時 23 分 19 秒

跟蹤級別 off

安全性 ON: Password or Local OS Authentication

SNMP OFF

監聽程式引數檔案 E:\oracle\product\10.2.0\db_3\network\admin\listener.o

ra

監聽程式日誌檔案 E:\oracle\product\10.2.0\db_3\network\log\listener.log

監聽端點概要...

(DESCRIPTION=(ADDRESS=(PROTOCOL=ipc)(PIPENAME=\\.\pipe\EXTPROC1ipc)))

(DESCRIPTION=(ADDRESS=(PROTOCOL=tcp)(HOST=skate)(PORT=1522)))

服務摘要..

服務 "PLSExtProc" 包含 1 個例程。

例程 "PLSExtProc", 狀態 UNKNOWN, 包含此服務的 1 個處理程式...

服務 "orcl" 包含 1 個例程。

例程 "orcl", 狀態 READY, 包含此服務的 1 個處理程式...

服務 "orclXDB" 包含 1 個例程。

例程 "orcl", 狀態 READY, 包含此服務的 1 個處理程式...

服務 "orcl_XPT" 包含 1 個例程。

例程 "orcl", 狀態 READY, 包含此服務的 1 個處理程式...

命令執行成功

1.2 。停止監聽

C:\Documents and Settings\skate_db>lsnrctl stop

LSNRCTL for 32-bit Windows: Version 10.2.0.1.0 - Production on 19-7月 -2008 13:1

6:15

正在連線到 (DESCRIPTION=(ADDRESS=(PROTOCOL=IPC)(KEY=EXTPROC1)))

命令執行成功

1.3 。修改監聽檔案的埠號，用於網路連線

把埠號修改為1523

# listener.ora Network Configuration File: E:\oracle\product\10.2.0\db_3\network\admin\listener.ora

# Generated by Oracle configuration tools.

SID_LIST_LISTENER =

(SID_LIST =

(SID_DESC =

(SID_NAME = PLSExtProc)

(ORACLE_HOME = E:\oracle\product\10.2.0\db_3)

(PROGRAM = extproc)

)

LISTENER =

(DESCRIPTION_LIST =

(DESCRIPTION =

(ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1))

(ADDRESS = (PROTOCOL = TCP)(HOST = skate)(PORT = 1523))

)

#----ADDED BY TNSLSNR 12-7月 -2008 13:26:50---

PASSWORDS_LISTENER = 3650F1EB3C37ABD9

#---------------------------------------------

1.4 。修改初始化引數local_listener ，用於本地連線

C:\Documents and Settings\skate_db>sqlplus / as sysdba

SQL*Plus: Release 10.2.0.1.0 - Production on 星期六 7月 19 13:24:02 2008

連線到:

Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Production

With the Partitioning, OLAP and Data Mining options

SQL> show parameter local_listener

NAME TYPE VALUE

------------------------------------ ----------- ------------------------------

local_listener string (address=(protocol=tcp)(host=s

kate)(port=1522))

SQL> alter system set local_listener="(address=(protocol=tcp)(host=skate)(port=1

523))";

系統已更改。

1.5 . 重啟監聽器

C:\Documents and Settings\skate_db>lsnrctl start

LSNRCTL for 32-bit Windows: Version 10.2.0.1.0 - Production on 19-7月 -2008 13:2

7:44

啟動tnslsnr: 請稍候...

TNSLSNR for 32-bit Windows: Version 10.2.0.1.0 - Production

系統引數檔案為E:\oracle\product\10.2.0\db_3\network\admin\listener.ora

寫入E:\oracle\product\10.2.0\db_3\network\log\listener.log的日誌資訊

監聽: (DESCRIPTION=(ADDRESS=(PROTOCOL=ipc)(PIPENAME=\\.\pipe\EXTPROC1ipc)))

監聽: (DESCRIPTION=(ADDRESS=(PROTOCOL=tcp)(HOST=skate)(PORT=1523)))

正在連線到 (DESCRIPTION=(ADDRESS=(PROTOCOL=IPC)(KEY=EXTPROC1)))

LISTENER 的 STATUS

------------------------

別名 LISTENER

版本 TNSLSNR for 32-bit Windows: Version 10.2.0.1.0 - Produ

ction

啟動日期 19-7月 -2008 13:27:47

正常執行時間 0 天 0 小時 0 分 3 秒

跟蹤級別 off

安全性 ON: Password or Local OS Authentication

SNMP OFF

監聽程式引數檔案 E:\oracle\product\10.2.0\db_3\network\admin\listener.o

ra

監聽程式日誌檔案 E:\oracle\product\10.2.0\db_3\network\log\listener.log

監聽端點概要...

(DESCRIPTION=(ADDRESS=(PROTOCOL=ipc)(PIPENAME=\\.\pipe\EXTPROC1ipc)))

(DESCRIPTION=(ADDRESS=(PROTOCOL=tcp)(HOST=skate)(PORT=1523)))

服務摘要..

服務 "PLSExtProc" 包含 1 個例程。

例程 "PLSExtProc", 狀態 UNKNOWN, 包含此服務的 1 個處理程式...

命令執行成功

1.6 。修改完畢，使用新埠登入測試

1.6.1。檢查監聽埠是否改變

C:\Documents and Settings\skate_db>netstat -an | find "1523"

TCP 0.0.0.0:1523 0.0.0.0:0 LISTENING

TCP 192.168.0.103:1523 192.168.0.103:2389 ESTABLISHED

TCP 192.168.0.103:2389 192.168.0.103:1523 ESTABLISHED

1.6.2。檢視監聽器的狀態

C:\Documents and Settings\skate_db>lsnrctl status

LSNRCTL for 32-bit Windows: Version 10.2.0.1.0 - Production on 19-7月 -2008 13:2

8:56

正在連線到 (DESCRIPTION=(ADDRESS=(PROTOCOL=IPC)(KEY=EXTPROC1)))

LISTENER 的 STATUS

------------------------

別名 LISTENER

版本 TNSLSNR for 32-bit Windows: Version 10.2.0.1.0 - Produ

ction

啟動日期 19-7月 -2008 13:27:47

正常執行時間 0 天 0 小時 1 分 10 秒

跟蹤級別 off

安全性 ON: Password or Local OS Authentication

SNMP OFF

監聽程式引數檔案 E:\oracle\product\10.2.0\db_3\network\admin\listener.o

ra

監聽程式日誌檔案 E:\oracle\product\10.2.0\db_3\network\log\listener.log

監聽端點概要...

(DESCRIPTION=(ADDRESS=(PROTOCOL=ipc)(PIPENAME=\\.\pipe\EXTPROC1ipc)))

(DESCRIPTION=(ADDRESS=(PROTOCOL=tcp)(HOST=skate)(PORT=1523)))

服務摘要..

服務 "PLSExtProc" 包含 1 個例程。

例程 "PLSExtProc", 狀態 UNKNOWN, 包含此服務的 1 個處理程式...

服務 "orcl" 包含 1 個例程。

例程 "orcl", 狀態 READY, 包含此服務的 1 個處理程式...

服務 "orclXDB" 包含 1 個例程。

例程 "orcl", 狀態 READY, 包含此服務的 1 個處理程式...

服務 "orcl_XPT" 包含 1 個例程。

例程 "orcl", 狀態 READY, 包含此服務的 1 個處理程式...

命令執行成功

1.6.3 。使用新埠號（1523）登入測試一下

C:\Documents and Settings\skate_db>sqlplus

SQL*Plus: Release 10.2.0.1.0 - Production on 星期六 7月 19 13:32:15 2008

請輸入使用者名稱:sys/oracle@skate:1523/orclas sysdba

連線到:

Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Production

With the Partitioning, OLAP and Data Mining options

SQL>

SQL> select * from v$version;

BANNER

----------------------------------------------------------------

Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Prod

PL/SQL Release 10.2.0.1.0 - Production

CORE 10.2.0.1.0 Production

TNS for 32-bit Windows: Version 10.2.0.1.0 - Production

NLSRTL Version 10.2.0.1.0 - Production

SQL> select open_mode from v$database;

OPEN_MODE

----------

READ WRITE

SQL>

注意：當修改了oracle預設監聽埠後，用tnsping會出錯的，因為這個時候，oracle會

讀tnsnames。ora這個檔案，而這個檔案的埠號沒有更改，只要更改下這裡對應的

埠號就ok。

eg：

C:\Documents and Settings\skate_db>tnsping orcl

TNS Ping Utility for 32-bit Windows: Version 10.2.0.1.0 - Production on 19-7月 -

2008 17:11:05

已使用的引數檔案:

E:\oracle\product\10.2.0\db_3\network\admin\sqlnet.ora

已使用 TNSNAMES 介面卡來解析別名

Attempting to contact (DESCRIPTION = (ADDRESS = (PROTOCOL = TCP)(HOST = skate)(P

ORT = 1521)) (CONNECT_DATA = (SERVER = DEDICATED) (SERVICE_NAME = orcl)))

TNS-12541: TNS: 無監聽程式

在這裡可以看到，oracle仍然用埠1521，我們更改下tnsnames.ora的埠號，就ok了。

# tnsnames.ora Network Configuration File: E:\oracle\product\10.2.0\db_3\network\admin\tnsnames.ora

# Generated by Oracle configuration tools.

ORCL =

(DESCRIPTION =

(ADDRESS = (PROTOCOL = TCP)(HOST = skate)(PORT = 1523))

(CONNECT_DATA =

(SERVER = DEDICATED)

(SERVICE_NAME = orcl)

)

EXTPROC_CONNECTION_DATA =

(DESCRIPTION =

(ADDRESS_LIST =

(ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1))

)

(CONNECT_DATA =

(SID = PLSExtProc)

(PRESENTATION = RO)

)

重啟監聽器，在tnsping

C:\Documents and Settings\skate_db>tnsping orcl

TNS Ping Utility for 32-bit Windows: Version 10.2.0.1.0 - Production on 19-7月 -

2008 17:22:00

已使用的引數檔案:

E:\oracle\product\10.2.0\db_3\network\admin\sqlnet.ora

已使用 TNSNAMES 介面卡來解析別名

Attempting to contact (DESCRIPTION = (ADDRESS = (PROTOCOL = TCP)(HOST = skate)(P

ORT = 1523)) (CONNECT_DATA = (SERVER = DEDICATED) (SERVICE_NAME = orcl)))

OK (50 毫秒)

---------oracle預設監聽埠更改--------------

××××××××××××××××××××××××××oracle控制ip的連線××××××××××××××××××××××××

2 .oracle控制ip的連線（我們也可以用資料庫觸發器記錄使用者的登入情況，但是不能記錄dba許可權的使用者）

單純的設定允許的IP 和禁止的IP，在oracle9i以前有文件說增加或修改protocol.ora檔案，

在9i及以後版本中真正起作用的是sqlnet.ora檔案，我們修改sqlnet.ora其實是最好最快的方法

sqlnet.ora檔案的功能：

1. Specify the client domain to append to unqualified names

2. Prioritize naming methods

3. Enable logging and tracing features

4. Route connections through specific processes

5. Configure parameters for external naming

6. Configure Oracle Advanced Security

7. Use protocol-specific parameters to restrict access to the database

我在這裡用的就是第7個功能

在sqlnet.ora中增加如下部分

-----------------------------

tcp.validnode_checking=yes

#允許訪問的IP

tcp.invited_nodes=(ip1,ip2……)

#禁止訪問的IP

tcp.excluded_nodes=(ip1,ip2……)

之後重新啟動監聽器即可

eg：

# sqlnet.ora Network Configuration File: E:\oracle\product\10.2.0\db_3\network\admin\sqlnet.ora

# Generated by Oracle configuration tools.

# This file is actually generated by netca. But if customers choose to

# install "Software Only", this file wont exist and without the native

# authentication, they will not be able to connect to the database on NT.

SQLNET.AUTHENTICATION_SERVICES= (NTS)

NAMES.DIRECTORY_PATH= (TNSNAMES, EZCONNECT)

#skate modify

tcp.validnode_checking=yes

tcp.invited_nodes=(192.168.0.103)

tcp.excluded_nodes=(192.168.0.10)

需要注意的問題：

1、需要設定引數為YES,這樣才能啟用。

2、建議設定允許訪問的IP，因為IP地址有可能被隨意修改，就不能起到自己的目的。

3、 TCP當引數TCP.INVITED_NODES和TCP.EXCLUDED_NODES設定的地址相同的時候將覆蓋TCP.EXCLUDED_NODES設定。

4、需要重啟監聽器才能生效。

5、這個方式只是適合TCP協議。

6、這個配置適用於9i以上版本。在9i之前的版本使用檔案protocol.ora。

7、在伺服器上直接連線資料庫不受影響。

8、這種限制方式事透過監聽器來限制的。

9、這個限制只是針對IP檢測，對於使用者名稱檢測事不支援的。

××××××××××××××××××××××××××oracle控制ip的連線××××××××××××××××××××××××

3. 給監聽器加密碼

Oracle的監聽器一直以來都存在一個嚴重的安全問題，那就是：

如果不設定安全措施，那麼能夠訪問的使用者就可以遠端關閉監聽器

1.設定監聽器密碼

2.更改監聽器密碼

1.設定監聽器密碼

[oracle@jumper log]$ lsnrctl

C:/Documents and Settings/skate_db>lsnrctl

LSNRCTL for 32-bit Windows: Version 9.2.0.1.0 - Production on 08-10月-2008 19:18

:06

歡迎來到LSNRCTL，請鍵入"help"以獲得資訊。

LSNRCTL> set current_listener listener

Current Listener is listener

LSNRCTL> change_password

Old password:

New password:

Reenter new password:

Connecting to (DESCRIPTION=(ADDRESS=(PROTOCOL=TCP)(HOST=172.16.33.11)(PORT=1521)))

Password changed for listener

The command completed successfully

LSNRCTL> set password

Password:

The command completed successfully

LSNRCTL> save_config

Connecting to (DESCRIPTION=(ADDRESS=(PROTOCOL=TCP)(HOST=172.16.33.11)(PORT=1521)))

Saved LISTENER configuration parameters.

Listener Parameter File /opt/oracle/product/9.2.0/network/admin/listener.ora

Old Parameter File /opt/oracle/product/9.2.0/network/admin/listener.bak

The command completed successfully

---到此監聽器已經設定好了密碼，下面就測試下

LSNRCTL> service

正在連線到 (DESCRIPTION=(ADDRESS=(PROTOCOL=IPC)(KEY=EXTPROC0)))

TNS-01169: 監聽器尚未識別口令

LSNRCTL> set password

Password:

命令執行成功

LSNRCTL> service

正在連線到 (DESCRIPTION=(ADDRESS=(PROTOCOL=IPC)(KEY=EXTPROC0)))

服務摘要..

服務 "PLSExtProc" 包含 1 個例程。

例程 "PLSExtProc", 狀態 UNKNOWN, 包含此服務的 1 個處理程式...

處理程式:

"DEDICATED" 已建立:0 已被拒絕:0

LOCAL SERVER

服務 "orcl9i" 包含 2 個例程。

例程 "orcl9i", 狀態 UNKNOWN, 包含此服務的 1 個處理程式...

處理程式:

"DEDICATED" 已建立:0 已被拒絕:0

LOCAL SERVER

例程 "orcl9i", 狀態 READY, 包含此服務的 1 個處理程式...

處理程式:

"DEDICATED" 已建立:0 已拒絕:0 狀態:ready

LOCAL SERVER

服務 "orcl9iXDB" 包含 1 個例程。

例程 "orcl9i", 狀態 READY, 包含此服務的 1 個處理程式...

處理程式:

"D000" 已建立:0 已被拒絕:0 當前: 0 最大: 1002 狀態: ready

DISPATCHER

(ADDRESS=(PROTOCOL=tcp)(HOST=skate)(PORT=3939))

命令執行成功

2.更改監聽器密碼

C:/Documents and Settings/skate_db>lsnrctl

LSNRCTL for 32-bit Windows: Version 9.2.0.1.0 - Production on 08-10月-2008 19:18

:06

歡迎來到LSNRCTL，請鍵入"help"以獲得資訊。

A。

要更改監聽器密碼，先輸入原密碼以便更改成功

LSNRCTL> set password

Password:

命令執行成功

B。

更改新密碼

LSNRCTL> change_password

Old password:

New password:

Reenter new password:

正在連線到 (DESCRIPTION=(ADDRESS=(PROTOCOL=IPC)(KEY=EXTPROC0)))

LISTENER的口令已更改

命令執行成功

LSNRCTL>

C.

新密碼起作用，輸入新密碼後才能執行save_config起作用

LSNRCTL> set password

Password:

命令執行成功

D.

儲存更改

LSNRCTL> save_config

正在連線到 (DESCRIPTION=(ADDRESS=(PROTOCOL=IPC)(KEY=EXTPROC0)))

儲存的LISTENER配置引數。

監聽器引數檔案 E:/oracle9i/product/9.2.0.1/db_4/network/admin/listener.

ora

舊的引數檔案E:/oracle9i/product/9.2.0.1/db_4/network/admin/listener.bak

命令執行成功

LSNRCTL>

oracle更改預設埠號，監聽器加密，限制ip訪問

相關文章