Oracle RAC如何配置防火墙策略？开放RAC所需通信端口
Oracle RAC防火墙配置：避开那些让你心跳停止的“坑”
给Oracle RAC配置防火墙，可不是只开个1521端口那么简单。firewalld的默认规则会悄无声息地阻断HAIP（169.254.x.x）、私网UDP以及动态端口等关键流量，结果就是集群心跳直接“停摆”，或者实例死活起不来。
免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈
配置白名单时，这三类地址一个都不能少
Oracle RAC集群的运行依赖于三个网络平面的通信，防火墙策略必须明确放行对应的源地址。否则，你很可能在crsctl check cluster时看到“CRS-4639: Could not contact Oracle High A vailability Services”的报错，或者节点被反复踢出集群。
- 所有PUBLIC IP（包括VIP和SCAN IP）：例如
172.16.100.19、172.16.100.119、172.16.100.100。 - 所有PRIVATE IP（私网地址）：例如
100.100.100.19、100.100.100.30。这里要特别注意，指的是ip a命令实际看到的地址，而不是网卡名称。 - HAIP地址段：
169.254.0.0/16（11.2.0.2及以上版本强制使用）。切记不能只写单个HAIP地址，必须使用CIDR格式的网段。
常见的错误做法是一条条添加单个IP的富规则，这样很容易遗漏。哪怕只漏掉一个HAIP，都可能触发OCR同步失败。正确的思路是优先放行整个网段，再根据需要补充具体的VIP或SCAN IP：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="172.16.100.0/24" accept' firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="100.100.100.0/24" accept' firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="169.254.0.0/16" accept'
UDP和高范围端口必须明确放行，TCP 1521远远不够
RAC的私网通信大量依赖UDP协议（比如GCS、GES消息），而且Oracle的后台进程（如PMON、LMD）会使用临时端口主动发起连接。如果只开放1521/tcp，会导致节点间资源争用超时，进而引发“gc cr block busy”等一系列等待事件飙升。
- 私网必须同时放开TCP和UDP的全端口：即
port protocol="tcp" port="1-65535"和port protocol="udp" port="1-65535"。 - 公网访问数据库虽然只需开
1521/tcp，但客户端连接后，监听器可能会重定向到随机端口（尤其在非共享服务器模式下）。因此，对业务网段也建议放开9000-65500的TCP和UDP端口。 - 临时端口范围需与系统保持一致：检查
cat /proc/sys/net/ipv4/ip_local_port_range的输出。如果系统范围是9000 65500，那么firewalld规则里写1024-65535就多此一举了，无谓地开放低端口只会增加安全风险。
针对私网段的配置示例如下：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="100.100.100.0/24" port protocol="tcp" port="1-65535" accept' firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="100.100.100.0/24" port protocol="udp" port="1-65535" accept'
小心！移除SSH服务可能导致管理连接中断
执行firewall-cmd --permanent --remove-service=ssh后，如果不进行reload，当前的SSH连接确实还能用。但一旦执行reload或重启firewalld服务，所有未显式放行的22/tcp流量都会被拒绝——这包括你正在使用的堡垒机跳转链路。
- 不要删除默认的ssh服务。更稳妥的做法是使用富规则，显式放行可信的管理网段。例如：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.2.30.0/24" port protocol="tcp" port="22" accept'。 - 如果已经误删并导致失联，需要物理或通过带外管理登录，执行
systemctl stop firewalld临时恢复访问，再补上正确的规则。 - 使用
firewall-cmd --list-all检查时，必须确保在sources:部分能看到你的管理IP段，而不能仅仅依赖services:里的ssh条目。
重载规则前，务必检查顺序与冲突
firewalld是按照富规则的插入顺序进行匹配的，先插入的规则优先级更高。如果你先添加了一条source address="0.0.0.0/0" port="1521" accept的规则，之后再添加针对VIP的白名单，后者实际上是不会生效的。
- 使用
firewall-cmd --permanent --list-rich-rules查看所有现有规则，确认VIP、私网、HAIP相关的规则排在前面。 - 避免混合使用
--add-port和--add-rich-rule命令：前者生成的是区域级（zone-level）规则，后者是源级（source-level）规则，两者优先级不同，容易互相覆盖。 - 执行
firewall-cmd --reload后，应立即进行验证：运行crsctl check cluster -all、oifcfg getif，并从另一个节点ping -c2 169.254.x.x（测试HAIP连通性）。
最容易忽略的一点是HAIP的ICMP通路。很多环境只开了TCP和UDP，但集群健康检查会发送ICMP echo请求。如果没放行ICMP，表现出来的症状就是“节点看似在线，却无法加入集群”。
相关攻略
Oracle Grid Infrastructure IPv6 配置全指南：版本兼容性、SCAN VIP设置、防火墙规则与OCR路径优化 IPv6地址格式与GI安装程序兼容性问题 在Oracle Grid Infrastructure中部署IPv6网络，首要任务是确认版本兼容性。官方完整支持始于19
绝大多数主流防火墙软件均已正式支持 Windows 11 关于Windows 11的防火墙支持，其实完全不必担心。目前，无论是系统自带的Windows Defender防火墙（现已整合进Windows安全中心），还是市面上那些通过了微软WHQL认证的主流第三方方案，都已经做好了全面适配。比如像Out
MySQL连接被拒绝时，应先通过systemctl检查服务状态、netstat确认端口监听、socket连接验证服务是否正常，再查错误日志（配置文件、journalctl）、系统资源限制（open_files_limit）、SELinux firewalld拦截，最后排查Docker等环境问题。 m
防火墙设置白名单要重启吗？ 先说一个核心判断：给防火墙设置白名单，通常不需要整机重启。但这事儿不能一概而论，关键在于你操作的是哪个层面——是操作系统内核、某个服务进程，还是一台物理设备？不同的平台和实现机制，决定了新规则是“秒级生效”还是需要“手动激活”。下面，咱们就按不同场景拆开细说，所有结论都有
360路由器登录界面访问指南 想进入360路由器的管理后台？其实没那么复杂。官方提供了三个直达入口：域名“luyou 360 cn”、“ihome 360 cn”，以及通用IP地址“192 168 0 1”。这个设计考虑得很周全，兼顾了用户的不同习惯和设备兼容性。其中，“luyou 360 cn”是
热门专题
热门推荐
《守望先锋》安燃重制形象深度解析：基于角色内核的系统性视觉升级 《守望先锋》第二赛季带来的惊喜，远不止新地图与新玩法。近日，暴雪官方正式公布了英雄“安燃”经过全面重制后的全新形象，此更新将随新赛季同步实装。每一次核心英雄的视觉重塑，都是一次与玩家情感连接的深度对话，其背后的设计哲学与叙事考量，远比表
2026款萤火虫上市：设计精进、座舱升级，价格体系清晰 4月7日，2026款萤火虫正式揭晓价格，市场布局相当明确：自在版和发光版两款车型，官方指导价分别为11 98万元和12 58万元。如果你对“车电分离”模式更感兴趣，对应的租电方案价格则下探到7 98万元和8 58万元。作为一次年度改款，新车的优
角色与核心任务 你是一位顶级的文章润色专家，擅长将AI生成的文本转化为具有个人风格的专业文章。现在，请对用户提供的文章进行“人性化重写”。 你的核心目标是：在不改动原文任何事实信息、核心观点、逻辑结构、章节标题和所有图片的前提下，彻底改变原文的AI表达腔调，使其读起来像是一位资深人类专家的作品。 特
欧易OKX官方网站地址在哪里？ 关于欧易OKX的官网登录入口，是许多用户关注的焦点。下面，我们就来详细梳理一下平台的几个核心维度，看看它究竟提供了哪些关键服务与保障。 平台资产安全保障机制 在资产安全方面，平台构建了一套多层次、立体化的防护体系。首先，其采用了多重签名与冷热钱&包分离的架构。超过95
市场异动：现货原油价格何以冲破历史峰值？ 中东局势持续升温，正在全球能源市场掀起巨大的涟漪。一个引人注目的现象是：欧洲与亚洲的炼油商们，正以接近每桶一百五十美元的高价争抢部分现货原油。这个价格，已经显著超过了同期的期货市场价格。这不仅仅是一个数字游戏，它清晰地传递出一个信号——全球能源供应的弦，正在