Oracle.ManagedDataAccess支持NNE加密，但需服务端强制配置SQLNET.ENCRYPTION_SERVER=REQUIRED、匹配算法及完整性校验，客户端仅响应协商，不主动发起；不支持直连，须经Oracle Net。
不能直接在 .net 代码里“调用 oracle advanced security”来加密网络流量——它不是 .net 库，而是 oracle 数据库服务端和客户端（oracle net）的配置机制。 你真正要做的，是让 .net 的 oracle 客户端（如 oracle.manageddataaccess）遵守服务端强制的加密策略，而这个策略由 sqlnet.ora 和监听器/数据库参数共同控制。
Oracle.ManagedDataAccess 是否支持 NNE 加密？
支持，但有前提：
- 必须使用 Oracle Database 12c 及以上版本的服务端（NNE 在 12c 引入，11g 仅支持旧版 ASO 加密，且需额外许可）
- .NET 客户端必须通过 Oracle Net（即使用
tnsnames.ora或 EZConnect 字符串），不能绕过 Net 使用直连（如 JDBC Thin 模式在 .NET 中不适用） -
Oracle.ManagedDataAccess默认启用SQLNET.ENCRYPTION_CLIENT=ACCEPTED行为，但不会主动发起加密协商——它响应服务端要求 - 若服务端设为
SQLNET.ENCRYPTION_SERVER=REQUIRED，客户端未配置对应算法或密钥类型，连接会直接失败，报错类似：ORA-12650: No common encryption or data integrity algorithm
关键配置项必须写在服务端 sqlnet.ora
加密决策权在数据库服务端，.NET 客户端只做适配。以下配置必须加到数据库服务器的 $ORACLE_HOME/network/admin/sqlnet.ora：
SQLNET.ENCRYPTION_SERVER = REQUIRED SQLNET.ENCRYPTION_TYPES_SERVER = (AES256) SQLNET.CRYPTO_CHECKSUM_SERVER = REQUIRED SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER = (SHA256)
注意：
-
AES256是当前推荐算法；DES、RC4已被主流环境弃用，部分新版 ODP.NET 不再支持 - 若客户端是 Windows 上的旧版
Oracle.DataAccess（非托管驱动），可能不支持AES256，需降级为AES128并确认服务端也允许 -
SQLNET.ENCRYPTION_SERVER=REQUESTED允许明文回退，等同于没开——生产环境必须用REQUIRED - 改完不用重启数据库实例，但需 reload 监听器：
lsnrctl reload
如何验证 .NET 连接是否真正在加密？
不能只看连接成功就认为加密生效。最可靠方式是抓包 + 查 trace：
- 用 Wireshark 抓
tns流量（端口默认 1521），搜索明文 SQL 关键字（如SELECT、WHERE）。加密开启后应完全不可读 - 在服务端开启 SQL*Net trace：
trace_level_server=16，查看 trace 文件中是否出现encryption negotiated: AES256 - 在 .NET 应用中启用 ODP.NET 日志（需设置环境变量
ODPNET_TRACE_ENABLED=1），日志里会记录加密协商结果 - 检查视图
V$SESSION_CONNECT_INFO，字段NETWORK_SERVICE_BANNER包含Encryption service即表示已激活
最容易被忽略的一点：Oracle Advanced Security 的 NNE 加密与 TLS/SSL 是两套独立机制。不要以为配了 HTTPS 就等于数据库链路加密——HTTP 层加密和 Oracle Net 层加密互不替代。NNE 是数据库原生能力，无需证书管理，但必须两端算法对齐；TLS 则需要部署证书，且 .NET 客户端需显式启用 SSL 参数（如 ssl_server_cert_dn），复杂度更高。选哪条路，取决于你是否已有 PKI 基础和合规审计要求。
