1

Пытаюсь настроить SSL взаимную аутентификацию Oracle. База данных на windows server 2008R2, на ней же Active Directory, адрес 192.168.56.12. Клиент Windows 7, адрес 192.168.56.11. listener.ora сервера:

TRACE_LEVEL_LISTENER = ADMIN
TRACE_FILE_LISTENER = listener
TRACE_DIRECTORY_LISTENER = C:/app/Kefir/product/12.2.0/dbhome_1/network/trace
LOG_FILE_LISTENER = listener
LOG_DIRECTORY_LISTENER = C:/app/Kefir/product/12.2.0/dbhome_1/network/log
LOGGING_LISTENER = ON
 
SID_LIST_SSL_LISTENER =
  (SID_LIST =
    (SID_DESC =
 (GLOBAL_DBNAME = ORCL)
 (SID_NAME = ORCL)
 (ORACLE_HOME = C:/app/Kefir/product/12.2.0/dbhome_1)
    )
  )
 
#SSL_CLIENT_AUTHENTICATION = FALSE
SSL_LISTENER =
  (DESCRIPTION =
    (ADDRESS = (PROTOCOL = TCPS)(HOST = 192.168.56.12)(PORT = 2484))
  )
WALLET_LOCATION = (SOURCE=
     (METHOD = FILE)
     (METHOD_DATA =
    (DIRECTORY=C:/wallet_server
     )))

sqlnet.ora сервера:

SQLNET.AUTHENTICATION_SERVICES= (TCPS, BEQ, NTS)
 
NAMES.DIRECTORY_PATH= (TNSNAMES, EZCONNECT)
SSL_CLIENT_AUTHENTICATION = TRUE
SSL_CIPHER_SUITES= (SSL_RSA_EXPORT_WITH_RC4_40_MD5)
SSL_VERSION = 0
WALLET_LOCATION =
  (SOURCE =
    (METHOD = FILE)
    (METHOD_DATA =
 (DIRECTORY = C:/wallet_server)
    )
  )
TRACE_DIRECTORY_SERVER = C:/app/Kefir/product/12.2.0/dbhome_1/network/trace
trace_level_server = SUPPORT
TRACE_FILE_server = trace_server

sqlnet.ora клиента:

WALLET_LOCATION = (SOURCE=
     (METHOD = FILE)
     (METHOD_DATA =
    (DIRECTORY=C:/client_wallet
     )))
SSL_VERSION = 0
SQLNET.AUTHENTICATION_SERVICES = (TCPS,BEQ,NTS)
SSL_SERVER_DN_MATCH = TRUE
SSL_CIPHER_SUITES= (SSL_RSA_EXPORT_WITH_RC4_40_MD5)
SSL_CLIENT_AUTHENTICATION = TRUE
NAMES.DIRECTORY_PATH= (TNSNAMES,EZCONNECT)
TRACE_DIRECTORY_CLIENT = C:/client_wallet
trace_level_client = USER
TRACE_FILE_CLIENT = trace_user

tnsnames.ora клиента

orcl =
  (DESCRIPTION =
    (ADDRESS = (PROTOCOL = TCPS)(HOST = 192.168.56.12)(PORT = 2484))
    (CONNECT_DATA=
 (SERVER = DEDICATED)
 (SERVICE_NAME=ORCL)
    )
    (SECURITY=(SSL_SERVER_CERT_DN="CN=WIN-SFJD57T6M7B.myora.local"))#доменное имя сервера

Пытаюсь конектиться enter image description here

lsnrctl status введите сюда описание изображения

Порт 5500, хотя в listener.ora указан 2484. Перезапускаю listener и теперь порт 1521. Как мне тогда это изменить? введите сюда описание изображения введите сюда описание изображения Что делать?

27
  • 1
    А что на сей раз не получается? Почему вы не правили прошлый вопрос, а задали новый?
    – 0xdb
    23 ноя 2020 в 9:05
  • я решила начать заново по другой инструкции. В прошлом вопросе пришлось бы много добавлять 23 ноя 2020 в 9:07
  • 1
    А что за база кроется за алиасом SSL?
    – 0xdb
    23 ноя 2020 в 9:11
  • 1
    Если даже оф.документации нельзя вслепую доверять, то каким туториалам в сети, тем более. Попробуйте разбить задачу на части и решать их отдельно, а не всё вместе. Например, раз возникли сложности с прослушивателем, то попробуйте сначала добавить ещё один endpoint без SSL, просто ещё один порт 2521.
    – 0xdb
    26 ноя 2020 в 15:40
  • 1
    Дайте ссылку на тутор, который вы сейчас используете. Как время появится, попробую проверить его.
    – 0xdb
    26 ноя 2020 в 15:55

1 ответ 1

3

Проверил туториал, исползуемый ТС. При проверке обращался к следующим главам документации:
Configuring Secure Sockets Layer Authentication, Database Net Services Reference.
В результате - провереная на работоспосоность конфигурация.

Пошаговая инструкция

Имеется:

  • db.local.net - сервер БД
  • app.local.net - машина с клиентом Instant Client
  • используются параметры по умолчанию, поэтому все файлы конфигурации почти пустые,
    клиент в соотоянии без проблем подключится к БД по easy connect
  1. На сервере БД необходимо создать кошельки для сертификатов (также для клиента, т.к на нём отсутствуют необходимые утилиты), и добавить в них самоподписанные сертификаты:

    $ cd $ORACLE_BASE
    
    $ orapki wallet create -wallet  wallet/ -pwd Wallet0Pass -auto_login
    $ orapki wallet add -wallet wallet/ -pwd Wallet0Pass \
        -dn CN=db.local.net \
        -keysize 2048 -self_signed -validity 365 # ok
    
    $ orapki wallet create -wallet  wallet.app/ -pwd Wallet0Pass -auto_login
    $ orapki wallet add -wallet wallet.app/ -pwd Wallet0Pass \
          -dn CN=app.local.net \
          -keysize 2048 -self_signed -validity 365
    
  2. Добавленные сертификаты надо экспортировать и добавить в другой кошелёк, как доверенный сертификат:

    $ orapki wallet export -wallet wallet/     -dn CN=db.local.net  -cert db.crt -pwd Wallet0Pass
    $ orapki wallet export -wallet wallet.app/ -dn CN=app.local.net -cert app.crt -pwd Wallet0Pass
    
    $ orapki wallet add -wallet     wallet -trusted_cert -cert app.crt -pwd Wallet0Pass
    $ orapki wallet add -wallet wallet.app -trusted_cert -cert db.crt -pwd Wallet0Pass
    
  3. На сервере БД надо добавить следующее в конфигурационные файлы:

    sqlnet.ora:

    NAMES.DIRECTORY_PATH= (TNSNAMES, EZCONNECT)
    WALLET_LOCATION = (SOURCE = (METHOD = FILE)
        (METHOD_DATA = (DIRECTORY = /app/oracle/wallet))
    )
    SQLNET.AUTHENTICATION_SERVICES = ALL
    SSL_CLIENT_AUTHENTICATION = TRUE
    SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA)
    

    listener.ora:

    WALLET_LOCATION = (SOURCE = (METHOD = FILE)
        (METHOD_DATA = (DIRECTORY = /app/oracle/wallet))
    )
    SSL_CLIENT_AUTHENTICATION = TRUE
    LISTENER = (DESCRIPTION_LIST = (DESCRIPTION =
        (ADDRESS = (PROTOCOL = TCP) (HOST = db.local.net)(PORT = 1521))
        (ADDRESS = (PROTOCOL = TCPS)(HOST = db.local.net)(PORT = 1544)))
    )
    

    Небходимо перестартовать прослушиватель:

    $ lsnrctl stop
    $ lsnrctl start
    $ lsnrctl status
    [...]
    Connecting to (DESCRIPTION=(ADDRESS=(PROTOCOL=TCP)(HOST=db.local.net)(PORT=1521)))
    STATUS of the LISTENER
    ------------------------
    Alias                     LISTENER
    [...]
    Listening Endpoints Summary...
      (DESCRIPTION=(ADDRESS=(PROTOCOL=tcp)(HOST=db.local.net)(PORT=1521)))
      (DESCRIPTION=(ADDRESS=(PROTOCOL=tcps)(HOST=db.local.net)(PORT=1544)))
    The listener supports no services
    The command completed successfully
    

    Доступные сервисы БД, кторые не прописаны в параметре SID_LIST_LISTENER, будут зарегистрированны автоматически в течении минуты.

  4. На машину с клиентом необходимо скопировать любым доступным способом (использовал утилиту scp) кошелёк с сервера БД. Затем дополнить конфигурационные файлы:

    $ scp -r root@dbsrv:/app/oracle/wallet.app/ ./wallet
    

    sqlnet.ora:

    NAMES.DIRECTORY_PATH = (TNSNAMES, EZCONNECT)
    WALLET_LOCATION = (SOURCE = (METHOD = FILE)
        (METHOD_DATA = (DIRECTORY = d:\app\oracle\wallet))
    )
    SQLNET.AUTHENTICATION_SERVICES = ALL
    SSL_CLIENT_AUTHENTICATION = TRUE
    SSL_SERVER_DN_MATCH = TRUE
    SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA)
    

    tnsnames.ora:

    pdb1s = (DESCRIPTION = 
        (ADDRESS = (PROTOCOL = TCPS)(HOST = dbsrv.local.net)(PORT = 1544))
        (CONNECT_DATA = (SERVER = DEDICATED)(SERVICE_NAME = pdb1))
        (SECURITY = (SSL_SERVER_CERT_DN = "CN=db.local.net"))
    )
    
  5. Как результат, протокол устанавливаемого соединения - TCPS:

    $ sqlplus -l me/me@pdb1s
    
    SQL> select sys_context ('userenv','network_protocol') proto from dual;
    
    PROTO
    --------------------------------------------------------------------------------
    tcps
    
6
  • здравствуйте, извините за задержку, что за dbsrv.local.net? Я попробовала туда ставить доменное имя сервера, выдало 12560 TNS protocol adapter error. И у вас при перезагрузке листенера написало, что он The listener supports no services, а у меня Service "CLRExtProc" has 1 instance 3 дек 2020 в 16:52
  • 1
    что за dbsrv.local.net, это полное имя сервера (FQDN) (всюду заменил его на db.local.net, в одном месте забыл). В локальной сети разрешение имен должно быть настроено,т.е. ping dbsrv.local.net с клиетской машины должен работать. Если не работает, то во всех конфиг файлах прописывайте IP.
    – 0xdb
    3 дек 2020 в 21:32
  • 1
    И у вас при перезагрузке листенера написало, что он The listener supports no services, это так, а в следующей строке что написано?
    – 0xdb
    3 дек 2020 в 21:38
  • 1
    тогда наверное дело не в этом. Уже намаялась с этим ссл. Попробую через керберос. Спасибо вам большое, это была настоящая эпопея) 3 дек 2020 в 21:43
  • 1
    Мне кажется, где-то "обидная" опечатка, всё должно работать.
    – 0xdb
    3 дек 2020 в 21:51

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.