专栏首页bisal的个人杂货铺Windows平台的Oracle使用USE_SHARED_SOCKET的作用

Windows平台的Oracle使用USE_SHARED_SOCKET的作用

前两天有位朋友在QQ群问了一个问题,背景如下:

继续问后,有如下回复:

1、对方服务器连接无问题。

2、从client可以telnet服务器的1521端口。

3、tnsping正常。

4、对方服务器没有设置IP信任。

5、windows 2003 server,Oracle 10.1.0.2.0

但从客户端sqlplus就是超时,无法连接。

首先,看下ORA-12170的定义:

oerr ora 12170

12170, 00000, "TNS:Connect timeout occurred"

// *Cause:  The server shut down because connection establishment or communication with a client failed to complete within the allotted time interval. This may be a result of network or system delays; or this may indicate that a malicious client is trying to cause a Denial of Service attack on the server. // *Action: If the error occurred because of a slow network or system, reconfigure one or all of the parameters SQLNET.INBOUND_CONNECT_TIMEOUT, SQLNET.SEND_TIMEOUT, SQLNET.RECV_TIMEOUT in sqlnet.ora to larger values. If a malicious client is suspected, use the address in sqlnet.log to identify the source and restrict access. Note that logged addresses may not be reliable as they can be forged (e.g. in TCP/IP).

大致意思就是因网络或系统问题超时。

然后建议他能sqlnet.ora添加trace配置,看下sqlplus的跟踪:

TRACE_LEVEL_CLIENT=16

TRACE_FILE_CLIENT=CLIENT

TRACE_TIMESTAMP_CLIENT=ON

trace_directory_client=一个路径

但此时反馈说服务端的支持人员已经开启了Oracle共享连接,现在可以sqlplus。

现在问题就出来了,什么是Oracle共享连接?做了什么配置就可以从客户端访问了?为什么会出现这个问题?

总结来说,这个问题是和Oracle运行于Windows平台相关的。对于运行于Windows平台的,从客户端发起一个连接请求时,服务端监听会让客户端重定向另外一个随机端口。既然是一个随机端口,那么防火墙自然不会允许这个连接。因此会出现从客户端可以telnet监听端口,但sqlplus就是超时,无法连接。究其原因就是由于客户端真正和Oracle线程通信时使用的随机端口会被防火墙拒绝。这种情况只会发生在Windows平台,因为UNIX之类的平台是默认支持端口共享的,不会出现端口被防火墙拒绝的现象。

可行的解决方案有两种,

1. 使用包含内建SQL*Net代理的防火墙。

流程:

1. 连接代理,将连接传给监听。
2. 发送客户端重定向地址。
3. 通过代理连接重定向地址。
4. Oracle接受连接。

2. 升级数据库到8.0.x以上,设置注册表中USE_SHARED_SOCKET变量值为TRUE。

监听器会在“listener.ora”文件中指定的地址上绑定和创建一个socket。在这个socket中,监听器的监听状态是ACTIVE。当监听器接收连接请求时,监听器会在监听端口派生一个Oracle线程。这种情况会反复产生,以至于最后形成了一个监听器和一些已建立的连接都在使用1521端口的闭环。

从10.2以上的,USE_SHARED_SOCKET就已经是默认值为TRUE了,无需再修改。

MOS的124140.1文章详细介绍了这部分内容,翻译原文如下:

目的:

运行于Windows NT,Windows 2000,或后续版本的操作系统,连接Oracle数据库的Oracle Net或Net 8连接,可能会让客户端重定向连接一个短端口范围中的一个端口号(除非碰到下面”特殊备注“节中的问题)。微软WINSOCK V1.1 API不允许进程将一个TCP的socket传给另一个进程。也就是不允许像UNIX系统中的端口共享。为了让Oracle连接可以运行于防火墙环境中,客户不得不使用包含内建SQL*Net代理的防火墙,或者使用Windows NT 4.0(可从Service Pack#3中获得)、Windows 2000以上的版本的WINSOCK V2 API,或者Windows 2000以上的版本。这种特性也能通过在Windows注册表中使用"USE_SHARED_SOCKET"参数在Oracle数据库中实现。

范围:

这篇文章主要是提供给需要通过防火墙使用SQL*Net,Net8或Oracle Net连接访问运行在Windows操作系统的Oracle数据库的DBA和网络管理员。

详细描述:

正如66382.1描述的,有两种方法可以让Oracle数据库运行于使用防火墙的环境中。

1. 使用包含内建SQL*Net代理的防火墙。

SQL*Net代理可以开启另一个让客户端连接的监听进程(通常在1610端口)。然后这个监听进程会代理到数据库的连接,并处理防火墙内部的端口重定向,不会触发禁止访问的规则。此时防火墙就像正在运行Oracle连接管理器(Connectiong Manager或多协议交换器,Multi Protocol Interchange)。有一点不同的就是,在防火墙和数据库之间安装了连接管理器Connection Manager,并且安装防火墙时允许他可以连接到连接管理器。那么防火墙就不需要Oracle Net或SQL*Net了。

2. 第二种方法是升级到8.0.x或以上版本,并在注册表中设置参数USE_SHARED_SOCKET,目的就是为了激活端口共享(在Oracle 10.2及以上中该值默认是TRUE)。这个参数在Windows NT 4.0(SP3或更高),Windows 2000,或Winsock V2支持的更高版本中可以设置。通过该参数,也能够使用仅支持端口过滤以及没有SQL*Net代理(至少是专用连接)的防火墙。多线程服务器(MTS)仍旧需要将连接重定向到一个动态端口,因此也需要SQL*Net代理。

当Oracle运行于Windows操作系统时,可以通过在系统环境或Windows注册表中设置这个参数变量来激活端口共享。推荐最好在Windows注册表中设置:USE_SHARED_SOCKET = TRUE。

在Windows NT设置系统环境变量的方式:控制面板-系统-环境。Windows 2000以上,也可以使用控制面板的系统按钮,但环境变量需要点击”高级”按钮来找到并设置。

亦可以使用Windows注册表设置:

In Oracle release 8.0 \\HKEY_LOCAL_MACHINE\SOFTWARE\ORACLE

In Oracle release 8.1 \\HKEY_LOCAL_MACHINE\SOFTWARE\ORACLE\HOME<#> In Oracle release 9 or later \\HKEY_LOCAL_MACHINE\SOFTWARE\ORACLE\Key_<Home>

增加一个STRING_VALUE值(注册表窗口右侧),不是KEY值(注册表窗口左侧)。

所有这些方法都需要Oracle进程的重启,以使进程重启时可以读取到注册表。

Troubleshoot备注:

可以使用‘netstat -a’命令查看配置。他应该展示所有的客户端连接,以及监听的端口。

C:\>netstat -an
Active Connections
Proto  Local Address Foreign Address State
TCP    0.0.0.0:1521        0.0.0.0:0             LISTENING
TCP    198.51.100.9:1521   198.51.100.6:55769    ESTABLISHED
TCP    198.51.100.9:1521   198.51.100.91:13452   ESTABLISHED
TCP    198.51.100.9:1521   198.51.100.92:13203   ESTABLISHED
TCP    198.51.100.9:1521   198.51.100.92:13202   ESTABLISHED
TCP    198.51.100.9:1521   203.0.113.166:12331   ESTABLISHED
TCP    198.51.100.9:1521   203.0.113.10:12123    ESTABLISHED
TCP    198.51.100.9:1521   203.0.113.10:11252    ESTABLISHED
TCP    198.51.100.9:1521   192.0.2.22:14524      ESTABLISHED
TCP    198.51.100.9:1521   192.0.2.20:13524      ESTABLISHED
TCP    198.51.100.9:1521   192.0.2.102:13452     ESTABLISHED
TCP    198.51.100.9:1521   192.0.2.121:1342      ESTABLISHED

可以在客户端SQLNET.ORA文件中设置如下参数,来激活Oracle Net客户端跟踪:

TRACE_LEVEL_CLIENT= 16 TRACE_DIRECTORY_CLIENT = <directory> TRACE_FILE_DIRECTORY= <filename>[Insert code here]

通过在跟踪文件中搜索'port'字符串,可以定位到具体的唯一端口。

特殊备注:

1. 如果使用TCPS协议或SSL,将会发生端口重定向。解决方案是使用支持Sqlnet或Net8连接的防火墙或配置共享服务器分发端口。

2. 10g及以上,默认USE_SHARED_SOCKET=TRUE。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • Tuxedo域连接错误引出的netstat不同平台参数的区别

    最近测试同事有一个需求,搭建一套Tuxedo域,连接网关,通过其和其他域交互,搭建过程中配置正确,但域连接报错,模拟过程如下,假设本地域名称为LOCALDOM,...

    bisal
  • 数据库连接池配置参考

    其实对这种和数据库交互的应用,现在的程序中,大多都用了数据库连接池,无论用的开源,还是自研的,无非都是想通过连接池,更方便、更高效地和数据库交互,因此一定程度上...

    bisal
  • win7下myeclipse/eclipse使用subclipse进行checkout时自动关闭问题

    现象:WIN7 32bit,myeclipse/eclipse用subclipse插件,输入url进行checkout操作时,...

    bisal
  • 紧急预警 | 大量Windows 0-day漏洞泄漏,全球70%以上Windows服务器可被远程控制

    北京时间 2017 年 4 月 14 日晚,黑客团体Shadow Brokers (影子经纪人)再次泄露了一份 117.9 MB 的 NSA 机密文档,内含 2...

    安恒信息
  • 针对5.12大型比特币敲诈事件的漏洞分析及其预防方法

    针对5.12大型比特币敲诈事件的漏洞分析及其预防方法 From ChaMd5安全团队核心成员 逍遥自在 2017年4年14日,NSA组织爆出了一份震惊世界的机...

    ChaMd5安全团队
  • 基于Windows环境的渗透测试神器

    FireEye 最近发布了一款 Windows 攻击工具集 —— 足足包含140个程序。渗透测试的世界不止有Kali Linux。Windows 7 SP1 或...

    墙角睡大觉
  • 建立JDBC数据库连接实例解析

      连接(Connection)是一个代表与数据库进行的程序连接的对象。通过连接,可以执行SQL语句、返回数据库操作结果等。 创建指定数据库的URL    ...

    阿新
  • Windows服务创建及安装

    我们将研究如何创建一个作为Windows服务的应用程序。内容包含什么是Windows服务,如何创建、安装和调试它们。会用到System.ServiceProce...

    hbbliyong
  • 快速入门PyTorch(3)--训练一个图片分类器和多 GPUs 训练

    这是快速入门 PyTorch 的第三篇教程也是最后一篇教程,这次将会在 CIFAR10 数据集上简单训练一个图片分类器,将会简单实现一个分类器从网络定义、数据处...

    材ccc
  • pytorch demo 实践

    相关环境 python opencv pytorch ubuntu 14.04 pytorch 基本内容 60分钟快速入门,参考:https://blog...

    张俊怡

扫码关注云+社区

领取腾讯云代金券