校準證書有效期的規定：數據庫安全審計的流程

Oracle RAC是什麼？

RAC是real application clusters的縮寫，譯為“實時應用集群”， 是Oracle新版數據庫中採用的一項新技術，是高可用性的一種，也是Oracle數據庫支持網絡計算環節的核心技術。

Oracle RAC中會有如下幾個IP地址

真實IP和VIP：Oracle RAC中每個節點都有一個虛擬IP，簡稱VIP， 與真實IP在同一個網段。vip 附屬在public網口接口。
VIP和真實IP最主要的不同之處在於：VIP是浮動的，而真實IP是固定的。在所有節點都正常運行時，每個節點的VIP會被分配到網卡上；在linux下ifconfig查看，public網卡上是2個IP地址；如果一個節點宕機，這個節點的VIP會被轉移到還在運行的節點上。也就是倖存的節點的網卡上，多出來一個VIP。

Private-IP： RAC中的 Private私有IP用於心跳同步，這個對於用戶層面，可以直接忽略。簡單理解，這個Ip用來保證兩台服務器同步數據用的，屬於RAC內部之間通信。priv 與真實IP 不應同屬一個接口。

Scan-IP：Oracle11gR2之後，引入了一個scan的概念。SCAN IP是作為一個新增IP出現的, scan ip其實是oracle在客戶端與數據庫之間，新加的一個連接層，當有客戶端訪問時，連接到 SCAN IPLISTENER， 而SCAN IP LISTENER接收到連接請求時，會根據 算法將該客戶端的連接請求，轉發給對應的instance上的VIP LISTENER，從而完成了整個客戶端與服務器的連接過程。

簡單說一下Oracle RAC的訪問流程：

客戶端先訪問Scan-IP，然後Oracle會根據算法返回一個VIP至客戶端，客戶端最終訪問VIP進行業務訪問。

下面用一個實際的環境來簡要說明一下：

網絡拓撲如下：

OracleDB1的環境如下：

192.168.10.181db01為真實IP1

192.168.10.182 db02為真實IP2

192.168.10.183db01-vip為VIP1

192.168.10.184db02-vip為VIP2

192.168.20.181db01-priv為Private-IP

192.168.20.182 db02-priv為Private-IP

192.168.10.180rac-scan為Scan-IP

OracleDB1接口的情況如下

以下可看到RAC1的監聽IP,該監聽IP是提供服務，一般是設備的VIP和真實IP，同理RAC2的監聽IP是192.168.10.182、192.168.10.184，所以我們需要關注的是這每台設備的這2個IP。

（PS：這個時候我們會有個疑問，為什麼會提供2個IP提供監聽，直接用真實IP不就好了嗎？？？

沒有VIP時，Oracle客戶端是靠“TCP/IP協議棧超時”來判斷服務器故障。而TCP/IP協議棧是作為OS Kernel的一部分來實現，不同的OS有不同的閥值，用戶獲悉數據庫異常的時間完全取決於OS Kernel的實現。因此，oracle RAC引入了VIP，從而避開對TCP協議棧超時的依賴。不過也有一些客戶VIP和真實IP都會用到，所以這個與客戶溝通好他們的數據流是如何通信。）

當RAC2掛了後，VIP2飄到了RAC1，雖然VIP2飄過去了，但是VIP2是不會提供服務，只由VIP1提供服務，而scanIP也會只提供VIP1給客戶端。

針對Oracle RAC環境，DAS如何進行審計數據庫的訪問記錄？

鏡像流量部署：

通過複製交換機的數據庫流量，鏡像到審計設備，進行審計。該部署方式對用戶數據庫環境無任何影響。建議條件允許的情況下，優先採取此方式進行部署配置。

agent部署：

在無法提供鏡像端口的情況下可採用探針（agent）部署在數據庫中。該部署方式適用雲環境，虛擬環境，數據庫比較分散等場景。探針與DAS建立連接，通過抓取網絡中的流量獲取信息發送到DAS設備，進行審計。

若是DAS2.0.3及以下版本，agent的配置文件是填寫整個通信的物理接口，可在配置文件中配置物理接口，進行抓取物理接口的流量。

若是DAS2.0.5及以上版本，agent只能填寫單個IP，所以我們需要了解好客戶的數據通信流，它是採用哪個IP進行通信的（VIP、真實IP）。若是與VIP或者是真實IP其中一個IP通信，可在配置文件填寫對應IP進行抓取流量；若是同時使用2個IP的話，DAS2.0.5默認帶的agent版本是不支持的，若客戶是這個情況的話，麻煩需要找對應區域深信服工程師提供。