Oracle RAC 无法“一键开启”SSL/TLS，因其多节点架构要求每个节点独立配置 TCPS 监听器、wallet、sqlnet.ora 和 tnsnames.ora，且 SCAN 不支持 TCPS，加密连接不自动故障转移。
oracle rac 本身不直接支持 ssl/tls 加密连接 —— 它依赖底层网络层（如 listener）和客户端配置来实现 tcps（tcp with ssl）连接，且必须逐节点、逐监听器单独配置。
为什么 Oracle RAC 的 SSL 配置不能“一键开启”
RAC 是多实例共享存储的集群架构，每个节点运行独立的 listener 和 sqlnet.ora，没有全局统一的 SSL 管理入口。SSL/TLS 在 Oracle 中是通过 TCPS 协议栈实现的，而 TCPS 连接必须绑定到具体监听地址+端口，无法跨节点自动代理或负载均衡加密流量。
常见误操作包括：只在单个节点配了 TCPS 监听，却期望 SCAN 或 VIP 自动转发加密请求 —— 实际上 SCAN 监听默认只支持 TCP，不处理 TCPS；VIP 上的监听若未显式启用 TCPS，客户端用 TCPS 连接会直接报 ORA-12537: TNS:connection closed 或 ORA-12640: Authentication service initialization failed。
- TCPS 必须为每个物理节点的本地监听器（
LISTENER_<node></node>）单独配置，不能复用 SCAN Listener - RAC 的服务名（Service Name）注册在各节点 listener 中，但加密连接不会自动 failover 到其他节点的 TCPS 端口 —— 客户端需自己实现重试逻辑
- 使用
tnsnames.ora中的(ADDRESS=(PROTOCOL=TCPS)...)条目时，必须指定具体节点 IP + TCPS 端口，不能写 SCAN IP
配置 TCPS 监听器（每个 RAC 节点都要执行）
以节点 1 为例，在 $ORACLE_HOME/network/admin/listener.ora 中添加 TCPS 监听段（注意：不能和原有 TCP 监听共用同一端口）：
LISTENER_TCPS_NODE1 =
(DESCRIPTION_LIST =
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCPS)(HOST = node1-vip)(PORT = 2484)(IP = FIRST))
)
)
同时在 sqlnet.ora 中强制启用 TCPS 所需的 wallet 路径和加密策略：
WALLET_LOCATION = (SOURCE = (METHOD = FILE) (METHOD_DATA = (DIRECTORY = /u01/app/oracle/wallet)))-
SSL_CLIENT_AUTHENTICATION = FALSE（单向认证够用时可关；双向需客户端也配 wallet） -
SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA256)（避免弱套件）
然后重启该节点监听：lsnrctl stop LISTENER_TCPS_NODE1 && lsnrctl start LISTENER_TCPS_NODE1。验证是否生效：lsnrctl status LISTENER_TCPS_NODE1 应显示 Listening Endpoints Summary... 中含 TCPS 行。
客户端 tnsnames.ora 必须指向具体节点 TCPS 地址
RAC 客户端无法像普通连接那样靠 SCAN 自动路由 TCPS 请求。你必须为每个节点定义独立的 TCPS 条目，并在应用中自行选择（或由连接池控制）：
ORCL_TCPS_NODE1 =
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCPS)(HOST = node1-vip)(PORT = 2484))
(CONNECT_DATA =
(SERVER = DEDICATED)
(SERVICE_NAME = orcl)
)
)
ORCL_TCPS_NODE2 =
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCPS)(HOST = node2-vip)(PORT = 2484))
(CONNECT_DATA =
(SERVER = DEDICATED)
(SERVICE_NAME = orcl)
)
)
Java JDBC 连接字符串示例（注意 driver 必须是 ojdbc8.jar 及以上，且 wallet 已正确加载）：
jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=node1-vip)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=orcl)))
- 如果 wallet 路径未设或密码错，会报
ORA-28860: Fatal SSL error - 若证书链不完整（比如缺中间 CA），会报
ORA-29024: Certificate validation failure - 客户端未配置
sqlnet.ora中的WALLET_LOCATION，JDBC 会静默 fallback 到非加密 TCP 连接（无警告！）
最关键的遗漏点：wallet 权限与文件同步
RAC 各节点的 wallet 必须完全一致（同证书、同密码、同 auto_login_local 设置），且目录权限必须严格限制：
- wallet 目录权限应为
700，owner 为oracle用户；否则监听启动时可能报ORA-28353: Failed to open wallet - 自签名证书导出后，必须用
orapki wallet add -trusted_cert将对方节点证书导入本地 wallet，否则节点间内部通信（如 GCS 消息）可能异常（虽不影响客户端连接，但影响集群健康检查） - 不要把 wallet 放在 ASM 或共享文件系统上 —— Oracle 不支持多实例并发读写同一 wallet 文件
真正麻烦的从来不是生成证书，而是让 N 个节点上的 wallet、listener.ora、sqlnet.ora、tnsnames.ora 四者版本对齐、路径一致、权限合规、且每次变更都同步到位 —— 差一个字符或一次 chmod 忘记，连接就静默降级或彻底失败。
