校準證書有效期的規定：資料庫安全審計的流程

Oracle RAC是什麼？

RAC是real application clusters的縮寫，譯為「實時應用集群」， 是Oracle新版資料庫中採用的一項新技術，是高可用性的一種，也是Oracle資料庫支持網路計算環節的核心技術。

Oracle RAC中會有如下幾個IP地址

真實IP和VIP：Oracle RAC中每個節點都有一個虛擬IP，簡稱VIP， 與真實IP在同一個網段。vip 附屬在public網口介面。
VIP和真實IP最主要的不同之處在於：VIP是浮動的，而真實IP是固定的。在所有節點都正常運行時，每個節點的VIP會被分配到網卡上；在linux下ifconfig查看，public網卡上是2個IP地址；如果一個節點宕機，這個節點的VIP會被轉移到還在運行的節點上。也就是倖存的節點的網卡上，多出來一個VIP。

Private-IP： RAC中的 Private私有IP用於心跳同步，這個對於用戶層面，可以直接忽略。簡單理解，這個Ip用來保證兩台伺服器同步數據用的，屬於RAC內部之間通信。priv 與真實IP 不應同屬一個介面。

Scan-IP：Oracle11gR2之後，引入了一個scan的概念。SCAN IP是作為一個新增IP出現的, scan ip其實是oracle在客戶端與資料庫之間，新加的一個連接層，當有客戶端訪問時，連接到 SCAN IPLISTENER， 而SCAN IP LISTENER接收到連接請求時，會根據 演算法將該客戶端的連接請求，轉發給對應的instance上的VIP LISTENER，從而完成了整個客戶端與伺服器的連接過程。

簡單說一下Oracle RAC的訪問流程：

客戶端先訪問Scan-IP，然後Oracle會根據演算法返回一個VIP至客戶端，客戶端最終訪問VIP進行業務訪問。

下面用一個實際的環境來簡要說明一下：

網路拓撲如下：

OracleDB1的環境如下：

192.168.10.181db01為真實IP1

192.168.10.182 db02為真實IP2

192.168.10.183db01-vip為VIP1

192.168.10.184db02-vip為VIP2

192.168.20.181db01-priv為Private-IP

192.168.20.182 db02-priv為Private-IP

192.168.10.180rac-scan為Scan-IP

OracleDB1介面的情況如下

以下可看到RAC1的監聽IP,該監聽IP是提供服務，一般是設備的VIP和真實IP，同理RAC2的監聽IP是192.168.10.182、192.168.10.184，所以我們需要關注的是這每台設備的這2個IP。

（PS：這個時候我們會有個疑問，為什麼會提供2個IP提供監聽，直接用真實IP不就好了嗎？？？

沒有VIP時，Oracle客戶端是靠「TCP/IP協議棧超時」來判斷伺服器故障。而TCP/IP協議棧是作為OS Kernel的一部分來實現，不同的OS有不同的閥值，用戶獲悉資料庫異常的時間完全取決於OS Kernel的實現。因此，oracle RAC引入了VIP，從而避開對TCP協議棧超時的依賴。不過也有一些客戶VIP和真實IP都會用到，所以這個與客戶溝通好他們的數據流是如何通信。）

當RAC2掛了後，VIP2飄到了RAC1，雖然VIP2飄過去了，但是VIP2是不會提供服務，只由VIP1提供服務，而scanIP也會只提供VIP1給客戶端。

針對Oracle RAC環境，DAS如何進行審計資料庫的訪問記錄？

鏡像流量部署：

通過複製交換機的資料庫流量，鏡像到審計設備，進行審計。該部署方式對用戶資料庫環境無任何影響。建議條件允許的情況下，優先採取此方式進行部署配置。

agent部署：

在無法提供鏡像埠的情況下可採用探針（agent）部署在資料庫中。該部署方式適用雲環境，虛擬環境，資料庫比較分散等場景。探針與DAS建立連接，通過抓取網路中的流量獲取信息發送到DAS設備，進行審計。

若是DAS2.0.3及以下版本，agent的配置文件是填寫整個通信的物理介面，可在配置文件中配置物理介面，進行抓取物理介面的流量。

若是DAS2.0.5及以上版本，agent只能填寫單個IP，所以我們需要了解好客戶的數據通信流，它是採用哪個IP進行通信的（VIP、真實IP）。若是與VIP或者是真實IP其中一個IP通信，可在配置文件填寫對應IP進行抓取流量；若是同時使用2個IP的話，DAS2.0.5默認帶的agent版本是不支持的，若客戶是這個情況的話，麻煩需要找對應區域深信服工程師提供。