觸發器限制指定IP訪問oracle資料庫

xypincle發表於2017-02-19
觸發器Oracle資料庫

  1. 觸發器限制指定IP訪問oracle資料庫
  2. ---------------------來自德哥的BLOG，覺著很有用，記錄一下-------------------

  4. 最近有個專案需要限制某些資料庫使用者的訪問來源IP，在PG中比較好實現，但是ORACLE沒有比較簡便的操作。
  5. 如果不管使用者的話，僅僅限制來源IP對監聽的訪問是比較容易實現的，透過配置資料庫伺服器的sqlnet.ora檔案或者修改資料庫伺服器的IPTABLES等手段實現。
  6. sqlnet.ora範例:
  7. tcp.validnode_checking=yes
  8. tcp.invited_nodes=(172.16.33.11,172.16.34.89)

  10. iptables範例:
  11. [root@kefu ~]# cat /etc/sysconfig/iptables
  12. # Firewall configuration written by system-config-securitylevel
  13. # Manual customization of this file is not recommended.
  14. *filter
  15. :INPUT ACCEPT [0:0]
  16. :FORWARD ACCEPT [0:0]
  17. :OUTPUT ACCEPT [0:0]
  18. :RH-Firewall-1-INPUT - [0:0]
  19. -A INPUT -j RH-Firewall-1-INPUT
  20. -A FORWARD -j RH-Firewall-1-INPUT
  21. # 允許訪問1521的伺服器
  22. -A RH-Firewall-1-INPUT -s 172.16.3.68/32 -m state --state NEW -m tcp -p tcp --dport 1521 -j ACCEPT
  23. -A RH-Firewall-1-INPUT -i lo -j ACCEPT
  24. -A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
  25. -A RH-Firewall-1-INPUT -p 50 -j ACCEPT
  26. -A RH-Firewall-1-INPUT -p 51 -j ACCEPT
  27. -A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
  28. -A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
  29. -A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
  30. -A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
  31. -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
  32. -A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
  33. COMMIT

  35. 下面來看看如何限制特定使用者和特定IP：

  37. 1. 建立ACL表 (本例將ACL表建立在dsm使用者下,隨便建哪裡都可以)
  38. create table dsm.tbl_iplimit (logonuser varchar2(32),ip_address varchar2(15),remark varchar2(64),create_time date default sysdate);
  39. insert into dsm.tbl_iplimit values ('DSM','172.16.18.81','digoal''s host.',sysdate);
  40. insert into dsm.tbl_iplimit values ('DSM','local','本地',sysdate);
  41. commit;
  42. 這裡限制了DSM使用者只能從172.16.18.81和ORACLE所在伺服器登入.其他使用者不受限制.

  44. 2. 建立觸發器
  45. conn / as sysdba
  46. create or replace trigger "logon_audit" after
  47. logon on database
  48. declare
  49. record_num number;
  50. userip varchar2(15);
  51. isforbidden boolean:=true;
  52. begin
  53.   userip:=nvl(sys_context ('userenv','ip_address'),'local');
  54.   select count(*) into record_num from dsm.tbl_iplimit where logonuser=user;
  55.   if (record_num>0) then
  56.       select count(*) into record_num from dsm.tbl_iplimit where logonuser=user and ip_address=userip;
  57.       if (record_num=0) then
  58.       raise_application_error(-20003,'ip :'||userip||' is forbided');
  59.       end if;
  60.   end if;
  61. exception
  62.  when value_error then
  63.   sys.dbms_output.put_line('exception handed');
  64.  when others then
  65.   raise;
  66. end logon_audit;
  67. /

來自 “ ITPUB部落格 ” ，連結：http://blog.itpub.net/28878983/viewspace-2133909/，如需轉載，請註明出處，否則將追究法律責任。

相關文章