【Oracle】データベースの IP アクセス制限を行う方法｜sqlnet.ora・VALID_NODE_CHECKING・ログオントリガー・OS ファイアウォールまで解説

# sqlnet.ora のパス:
# Linux: $ORACLE_HOME/network/admin/sqlnet.ora
# Windows: %ORACLE_HOME%\network\admin\sqlnet.ora

# IP チェックを有効化
TCP.VALIDNODE_CHECKING = YES

# 許可する IP アドレス（これ以外は全て拒否）
TCP.INVITED_NODES = (10.0.1.100, 10.0.1.101, 10.0.2.*, 192.168.1.0/24, localhost)

# ※ INVITED_NODES を設定すると、リストにない IP は全て拒否される
# ※ localhost（127.0.0.1）を必ず含めること

TCP.VALIDNODE_CHECKING = YES

# 拒否する IP アドレス（これ以外は全て許可）
TCP.EXCLUDED_NODES = (192.168.100.50, 10.99.*)

# sqlnet.ora を編集した後はリスナーを再起動する必要がある
$ lsnrctl stop
$ lsnrctl start

# リスナーの状態を確認
$ lsnrctl status

# データベースインスタンスの再起動は不要
# （sqlnet.ora はリスナーが接続ごとに読み込む）

CREATE OR REPLACE TRIGGER trg_ip_restrict
AFTER LOGON ON DATABASE
DECLARE
    v_ip VARCHAR2(100);
BEGIN
    -- SYS / SYSTEM は制限しない
    IF USER IN ('SYS', 'SYSTEM') THEN RETURN; END IF;

    v_ip := SYS_CONTEXT('USERENV', 'IP_ADDRESS');

    -- 管理者ユーザー: 特定 IP のみ許可
    IF USER = 'ADMIN_USER' THEN
        IF v_ip NOT IN ('10.0.1.100', '10.0.1.101') THEN
            RAISE_APPLICATION_ERROR(-20001,
                'ADMIN_USER は許可されたIPからのみ接続可能です: ' || v_ip);
        END IF;
    END IF;

    -- アプリユーザー: アプリサーバーからのみ許可
    IF USER = 'APP_USER' THEN
        IF v_ip NOT LIKE '10.0.2.%' THEN
            RAISE_APPLICATION_ERROR(-20002,
                'APP_USER はアプリサーバーからのみ接続可能です: ' || v_ip);
        END IF;
    END IF;
END;
/

-- 許可 IP テーブル
CREATE TABLE allowed_ips (
    username    VARCHAR2(30),
    ip_pattern  VARCHAR2(100),
    description VARCHAR2(200)
);

INSERT INTO allowed_ips VALUES ('ADMIN_USER', '10.0.1.100', '管理端末');
INSERT INTO allowed_ips VALUES ('ADMIN_USER', '10.0.1.101', '管理端末2');
INSERT INTO allowed_ips VALUES ('APP_USER', '10.0.2.%', 'アプリサーバー群');
COMMIT;

-- トリガー（テーブル参照版）
CREATE OR REPLACE TRIGGER trg_ip_restrict_table
AFTER LOGON ON DATABASE
DECLARE
    v_ip    VARCHAR2(100);
    v_count NUMBER;
BEGIN
    IF USER IN ('SYS', 'SYSTEM') THEN RETURN; END IF;
    v_ip := SYS_CONTEXT('USERENV', 'IP_ADDRESS');

    SELECT COUNT(*) INTO v_count FROM allowed_ips
    WHERE username = USER AND v_ip LIKE ip_pattern;

    IF v_count = 0 THEN
        -- allowed_ips に登録がないユーザーは制限なし
        SELECT COUNT(*) INTO v_count FROM allowed_ips WHERE username = USER;
        IF v_count > 0 THEN
            RAISE_APPLICATION_ERROR(-20003,
                USER || ' はIPアドレス ' || v_ip || ' からの接続が許可されていません');
        END IF;
    END IF;
END;
/

# Oracle リスナーポート 1521 を特定 IP のみに開放
# (1) デフォルトで 1521 をブロック
firewall-cmd --permanent --remove-port=1521/tcp

# (2) 許可 IP からの 1521 のみ開放
firewall-cmd --permanent --add-rich-rule='
    rule family=ipv4 source address=10.0.1.0/24 port port=1521 protocol=tcp accept'
firewall-cmd --permanent --add-rich-rule='
    rule family=ipv4 source address=192.168.1.50 port port=1521 protocol=tcp accept'

# (3) 反映
firewall-cmd --reload

# 特定 IP のみ 1521 を許可
iptables -A INPUT -p tcp --dport 1521 -s 10.0.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 1521 -s 192.168.1.50 -j ACCEPT
iptables -A INPUT -p tcp --dport 1521 -j DROP

# 設定の永続化
service iptables save

# Windows ファイアウォールで 1521 を特定 IP のみに許可
netsh advfirewall firewall add rule name="Oracle 1521" dir=in action=allow protocol=tcp localport=1521 remoteip=10.0.1.0/24,192.168.1.50

# 許可された IP から接続テスト
sqlplus hr/password@//db-server:1521/orcl
# → 接続成功すれば OK

# 拒否されるべき IP から接続テスト
sqlplus hr/password@//db-server:1521/orcl
# → ORA-12537: TNS:connection closed
# → ORA-12170: TNS:Connect timeout occurred

# リスナーログで拒否を確認
# tail -f $ORACLE_BASE/diag/tnslsnr/*/listener/alert/log.xml

-- 現在接続中のセッションの IP アドレスを確認
SELECT sid, serial#, username,
       SYS_CONTEXT('USERENV', 'IP_ADDRESS') AS client_ip,
       SYS_CONTEXT('USERENV', 'HOST') AS client_host
FROM v$session
WHERE username IS NOT NULL
ORDER BY username;

TCP.VALIDNODE_CHECKING = YES
TCP.INVITED_NODES = (10.0.0.0/8, 192.168.0.0/16, localhost, 127.0.0.1)

TCP.VALIDNODE_CHECKING = YES
TCP.INVITED_NODES = (
    10.0.2.10,     # アプリサーバー1
    10.0.2.11,     # アプリサーバー2
    10.0.1.50,     # DBA 端末
    localhost,
    127.0.0.1
)

TCP.VALIDNODE_CHECKING = YES
TCP.EXCLUDED_NODES = (192.168.100.50, 10.99.*)

# --- sqlnet.ora: 社内ネットワークのみ許可 ---
TCP.VALIDNODE_CHECKING = YES
TCP.INVITED_NODES = (10.0.0.0/8, localhost, 127.0.0.1)

# --- ログオントリガー: DBA ユーザーはさらに端末を限定 ---
# CREATE OR REPLACE TRIGGER trg_ip_restrict ...
# IF USER = 'DBA_USER' AND v_ip NOT IN ('10.0.1.50') THEN ...