启用Valid Node Checking后连接失败需检查sqlnet.ora位置、重启监听器、正确配置tcp.invited_nodes（仅支持IP/主机名，无CIDR）、区分tcp.validnode_checking与VALID_NODE_CHECKING_REGISTRATION_作用，并确认监听器实际加载了配置。
Oracle监听器启用Valid Node Checking后连不上怎么办
开箱即用的 oracle 监听器默认不校验客户端 ip，一旦开启 valid_node_checking_registration_<code> 或 <code>tcp.validnode_checking，没配白名单的客户端立刻被拒，错误通常是 tns-12537: tns:connection closed 或监听日志里出现 rejected by valid node checking —— 这不是网络不通，是监听器主动丢包。
实操要点：
-
sqlnet.ora必须放在$ORACLE_HOME/network/admin/下，放错位置（比如放到了数据库实例的$ORACLE_HOME/dbs/）完全不生效 - 必须重启监听器才能加载新规则：
lsnrctl reload不够，得用lsnrctl stop && lsnrctl start - 白名单只对注册（registration）和连接建立（connection request）两个环节起作用，已建立的连接不受影响
- 如果用了 SCAN 或 RAC，需在每个节点的
sqlnet.ora单独配置，不能只配一个
sqlnet.ora 中 tcp.invited_nodes 怎么写才有效
这是最常写错的地方：值必须是字符串数组形式，且不支持 CIDR（如 192.168.1.0/24），只认点分十进制 IP 或主机名，逗号后不能有空格。
正确写法示例：
tcp.invited_nodes = (192.168.5.10,oradb01,10.20.30.40)
常见翻车点：
- 写了
192.168.5.*或192.168.5.0/24→ 直接失效，监听器启动时不会报错，但所有连接都被拒绝 - IP 和主机名混用但 DNS 不通 → 主机名解析失败等价于未命中白名单，建议生产环境优先用 IP
- 漏掉本地回环
127.0.0.1→ 本地sqlplus / as sysdba可能失败（取决于监听地址绑定方式） - 值为空括号
()或注释掉该行 → 等效于未启用白名单，不是“允许所有”，而是退回到默认行为（不检查）
VALID_NODE_CHECKING_REGISTRATION_ 是什么，和 tcp.validnode_checking 有什么区别</H3>
<p>这是两套独立开关，控制不同阶段的校验，且默认都关闭。混淆它们会导致策略失效或过度拦截。</p><div class="aritcle_card flexRow">
<div class="artcardd flexRow">
<a class="aritcle_card_img" href="/ai/2507" title="百度AI搜"><img
src="https://img.php.cn/upload/ai_manual/001/246/273/176907409582411.png" alt="百度AI搜" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
<div class="aritcle_card_info flexColumn">
<a href="/ai/2507" title="百度AI搜">百度AI搜</a>
<p>百度全新AI搜索引擎</p>
</div>
<a href="/ai/2507" title="百度AI搜" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a>
</div>
</div>
<p>关键差异：</p>
<ul>
<li><code>tcp.validnode_checking = yes：控制客户端发起连接请求时的 IP 校验，影响所有 TCP 连接（包括 JDBC、ODBC、sqlplus）
VALID_NODE_CHECKING_REGISTRATION_<code> = ON：只控制数据库实例向监听器注册时的校验（即 PMON 注册服务名那一步），和客户端连接无关；常用于多实例共用监听器时防伪造注册tcp.invited_nodes 是它们共用的白名单源，不存在分别配置VALID_NODE_CHECKING_REGISTRATION_<code> 建议设为 OFF，否则节点间心跳注册可能被误拦</li> </ul> <H3>为什么加了白名单还是被拒绝？检查这三处</H3> <p>监听器日志（<code>$ORACLE_HOME/network/log/listener.log）里搜
valid node 能看到具体拒绝原因，但多数人忽略前置条件。
务必确认：
- 监听器是否真的读到了
sqlnet.ora？执行lsnrctl status后看输出顶部有没有Listener Parameter File指向你改的那个路径 -
sqlnet.ora里有没有其他冲突设置？比如tcp.excluded_nodes显式拉黑了某个 IP，它优先级高于invited_nodes - 客户端真实出口 IP 是什么？NAT、跳板机、K8s Service ClusterIP 都可能导致客户端 IP 和你写的白名单不一致；用
SELECT SYS_CONTEXT('USERENV','IP_ADDRESS') FROM DUAL;查数据库侧看到的 IP
白名单逻辑极简：不在列表里就拒，没有模糊匹配、没有继承、没有通配符。写错一个点，整条路就断了。
