Oracle数据库默认接受来自任意主机的连接请求，只要对方掌握了正确的用户名和密码，就能尝试登录实例。对于安全要求较高的生产环境，这种敞开式的访问方式存在明显风险，比如密码被暴力破解、内部人员从无关机器连库导数等。VALID_NODE_CHECKING正是Oracle提供的一道来源校验机制，它在协议层面对发起连接的节点进行检查，不符合规则的连接会在握手阶段就被拒绝，根本走不到账号验证那一步。本文详细介绍这个参数的原理、配置方法和常见坑。
VALID_NODE_CHECKING的工作原理
VALID_NODE_CHECKING并不是数据库初始化参数，也就是说你在v$parameter视图里查不到它。它属于Oracle Net层面的参数，配置在服务器端的sqlnet.ora文件中，由监听器进程在接收连接时读取和执行。这一点很关键，很多初次接触的DBA会习惯性地执行alter system去改，结果发现根本找不到这个参数。
当客户端发起连接时，监听器会先获取对端的IP地址，再根据sqlnet.ora中的节点列表判断这个IP是否被允许。判断逻辑依赖两个参数配合：invited_nodes定义白名单，列表内的主机允许连接；excluded_nodes定义黑名单，列表内的主机被拒绝。如果同时配置了两个列表，白名单的优先级更高，规则是先看是否命中invited_nodes，命中则放行，否则再看是否命中excluded_nodes，命中则拒绝，两者都没命中时默认拒绝。
需要注意的是，这个检查只针对远程TCP连接，本机通过IPC方式连接不受影响。另外节点匹配支持主机名和IP两种写法，如果写的是主机名，监听器需要能够正确解析它，DNS或hosts文件解析失败会导致规则判断出现异常。
完整配置步骤与示例
配置文件位于数据库服务器上，Linux环境通常在$ORACLE_HOME/network/admin/sqlnet.ora，Windows环境在%ORACLE_HOME%\network\admin\sqlnet.ora。如果文件不存在可以手动创建。下面是一个典型的白名单配置：
# 开启节点校验 TCP.VALIDNODE_CHECKING=YES # 只允许以下节点连接数据库服务器 TCP.INVITED_NODES=(10.10.1.20,10.10.1.21,dbapp01,192.168.0.100) # 明确拒绝的节点，可与白名单共存，白名单优先 TCP.EXCLUDED_NODES=(10.10.1.50)
这里有一个非常容易踩的坑：参数名写的是TCP.VALIDNODE_CHECKING，中间没有下划线分隔VALID和NODE，而很多人凭印象写成TCP.VALID_NODE_CHECKING，结果参数不生效，监听器照常放行所有连接。官方文档中这个参数的正确拼写就是VALIDNODE_CHECKING，书写时务必核对。
另一个必须注意的点是数据库服务器本机的IP也要加入invited_nodes。因为监听器校验的是所有TCP连接来源，如果忘记把本机IP或127.0.0.1写进去，配置重启监听后，本地的应用程序通过TCP连接数据库也会被拒掉，出现大面积连接故障。稳妥的做法是把127.0.0.1、本机所有网卡的IP以及数据库主机名本身都加进白名单。
配置完成后需要重启监听器才能生效，因为sqlnet.ora是监听器启动时读取的：
# 停止并重启监听器 lsnrctl stop lsnrctl start # 查看监听状态确认正常 lsnrctl status
重启后可以用一个不在白名单内的客户端尝试连接，正常情况下会收到ORA-12547或TNS相关错误，说明节点校验已经生效。而被拒绝的连接不会消耗数据库进程资源，安全性提升的同时开销几乎可以忽略。
生产环境常见问题与替代方案
第一个常见问题是改了配置却依然能从禁止的机器连上，排查方向主要有三个：一是监听器没有重启，旧规则还在内存里；二是参数拼写错误，比如把VALIDNODE写成VALID_NODE；三是服务器上存在多个ORACLE_HOME，实际生效的sqlnet.ora并不是你修改的那一份，可以通过lsnrctl status确认监听器使用的ORACLE_HOME路径。
第二个问题是主机名解析带来的不确定性。白名单里写了主机名，但DNS后来变更了解析结果，或者客户端走了NAT转换导致监听器看到的IP与预期不符，这些都会让规则判断出错。因此生产环境更推荐直接写IP地址，涉及NAT的场景要写转换后的真实来源IP。
VALID_NODE_CHECKING本身也有一些局限：规则由监听器统一控制，无法针对不同数据库实例设置不同策略；主机数量很多时维护列表比较繁琐。如果需要更细粒度的控制，可以考虑替代方案，比如使用Oracle Database Vault做连接控制规则，或者在操作系统防火墙、网络设备层面做IP过滤，也可以通过登录触发器在数据库层面校验SESSION来源的IP并主动断开会话：
-- 登录触发器方式：按会话来源IP做二次校验
CREATE OR REPLACE TRIGGER trg_check_client_ip
AFTER LOGON ON DATABASE
DECLARE
v_ip VARCHAR2(46);
BEGIN
SELECT SYS_CONTEXT('USERENV','IP_ADDRESS') INTO v_ip FROM DUAL;
IF v_ip NOT IN ('10.10.1.20','10.10.1.21','127.0.0.1') THEN
RAISE_APPLICATION_ERROR(-20001, '该客户端IP禁止登录: ' || v_ip);
END IF;
END trg_check_client_ip;
登录触发器方式的优势是可以按用户、按IP组合出更灵活的策略，缺点是被拒绝的会话已经完成了资源分配，开销比监听器层拦截大。实践中比较合理的做法是两层结合：用VALID_NODE_CHECKING在网络入口做粗粒度拦截，用登录触发器做精细化控制，既保证安全性又兼顾维护成本。
OracleVALID_NODE_CHECKING远程访问控制修改时间：2026-09-10 07:40:35