必须设置tcp.validnode_checking=YES才能启用IP白/黑名单，仅配tcp.invited_nodes或tcp.excluded_nodes无效；二者互斥且不支持CIDR或通配符，须精确填写IP或可解析主机名，并包含本机IP，修改后需重启监听器生效。
直接改 sqlnet.ora 就能生效，但必须配对启用 tcp.validnode_checking
只加 tcp.invited_nodes 或 tcp.excluded_nodes 不起作用。Oracle 会忽略它们，除非显式开启校验开关：tcp.validnode_checking = yes。这个参数不是可选的“增强功能”，而是强制开关——关了就等于没配。
常见错误现象是：改完文件、重启监听，客户端连接照常成功，完全没限制效果。这时候第一反应不是配置写错了，而是检查 tcp.validnode_checking 是否设为 yes（注意大小写不敏感，但值必须是 yes 或 on，不能是 true 或 1）。
tcp.invited_nodes 和 tcp.excluded_nodes 不能共存，且不支持 CIDR 或通配符
这两个参数互斥，tcp.invited_nodes 优先级更高。如果同时存在，tcp.excluded_nodes 被静默忽略。更关键的是：它们只接受完整 IP 地址或可解析的主机名，不支持 192.168.31.0/24、192.168.31.* 或 172.30.* 这类写法——哪怕文档里出现过类似示例，实际在 11g/12c/19c 中都会导致监听启动失败或行为未定义。
-
tcp.invited_nodes = (192.168.31.71, 192.168.31.77)✅ 正确（本机 IP 必须包含） -
tcp.invited_nodes = (192.168.31.0/24)❌ 启动监听时报TNS-12560+TNS-00583 -
tcp.excluded_nodes = (10.10.10.10, db-dev.example.com)✅ 可用，但需确保db-dev.example.com能被服务器nslookup解析
监听重启是硬性要求，且本机连接不受限
修改 sqlnet.ora 后必须执行 lsnrctl stop && lsnrctl start（lsnrctl reload 在部分版本中不触发节点检查重载，不可靠）。不重启，配置永远不生效。
还要注意：这个限制只作用于 **通过监听器建立的远程连接**。DBA 用 sqlplus / as sysdba 本地直连、或者通过 IPC 协议连接，完全绕过监听器，因此不受 tcp.invited_nodes 约束。这也是为什么你总得把本机 IP 写进白名单——否则监听自己都起不来（报错 ORA-12547: TNS:lost contact）。
出错时先看监听日志，别急着删配置
监听启动失败最典型的错误是：TNS-12560: TNS:protocol adapter error 后跟 TNS-00583: Valid node checking: unable to parse configuration parameters。这几乎 100% 是因为 tcp.invited_nodes 值格式非法（比如换行、多余空格、括号不匹配、含不可见字符），或其中某个 IP/主机名无法解析。
解决步骤很直接：
- 临时注释掉
tcp.validnode_checking = yes，再lsnrctl start—— 如果能起来，说明语法没问题，问题出在 invited/excluded 列表内容 - 逐个检查列表里的每个 IP，用
ping -c1 x.x.x.x或nslookup hostname验证可达性和解析性 - 确保整行写在一行内，不要换行；括号前后无空格；IP 之间用英文逗号+空格分隔
真正容易被忽略的点是：这个机制只拦 TNS 连接，不拦操作系统层访问。只要攻击者能 SSH 进服务器，就能本地连库、改配置、甚至删监听。所以 sqlnet.ora 白名单只是第一道轻量防线，不能替代防火墙或系统级访问控制。
