ORA-12537根本原因是连接在TCP三次握手前被网络层阻断，首要排查防火墙是否明确放行1521端口及私网通信段、SELinux socket绑定权限和内核somaxconn参数，而非简单关闭防火墙。
不是“必须关闭防火墙”，而是必须让防火墙明确放行 Oracle 所需的端口和通信路径——关防火墙只是临时验证手段，不是生产解法。
ORA-12537 报错根本不是数据库问题，而是连接被掐在半路
当你看到 ORA-12537: TNS:connection closed，tnsping 通但 sqlplus 连不上，或 Navicat 直接断开，这几乎可以确定：TCP 三次握手都没完成。监听进程（tnslsnr）可能状态是 READY，但它根本收不到客户端发来的 SYN 包——因为防火墙在 INPUT 链里把它 DROP 或 REJECT 了。
- Linux 上
iptables默认策略常为DROP，哪怕只漏掉一条--dport 1521 -j ACCEPT规则，外部连接就全挂 -
firewalld不会自动识别 “Oracle” 是什么服务；firewall-cmd --list-services显示oracle-db并不等于 1521 端口已开放，得看实际--list-ports - Windows Server 防火墙默认不信任
OracleServiceORCL，不手动启用对应入站规则，监听就对外不可见
RAC 环境下私网通信比 1521 更容易被忽略
RAC 节点间心跳、OCR 同步、IPC 通信走的是私网网段（如 192.168.10.0/24），端口也非固定 1521（常见 12345、45678 等动态端口）。这时只开 1521 完全没用。
- 不能靠
--add-port，必须用firewall-cmd --add-source=192.168.10.0/24精准放行整个私网段 - 私网网卡若绑了多个 IP（比如 VIP、GNS VIP），
--add-source只认主 IP，额外 VIP 得单独加 -
clsssInitNative: connect failed, rc 9或IPC SEND timeout出现时，先查firewall-cmd --list-rich-rules，别只盯着监听端口
SELinux 和内核参数也会让防火墙“看起来开了实则无效”
即使 firewalld 放行了端口，SELinux 仍可能拒绝 Oracle 进程绑定 socket，导致监听启动成功但无法响应连接请求——现象仍是 ORA-12537。
- 查日志：
sudo ausearch -m avc -ts recent | grep -i oracle，若出现avc: denied { name_bind }，就是 SELinux 拦的 - 临时修复：
sudo setsebool -P oracle_execmem 1（必须带-P持久化） - 内核参数
/proc/sys/net/core/somaxconn若小于 65535，IPC 连接队列溢出，也会表现为连接瞬间关闭，和防火墙拦截症状高度相似
真正卡住的从来不是“要不要开防火墙”，而是开了之后有没有覆盖到所有通信面：监听端口、私网网段、SELinux 策略、内核连接队列——少一个，ORA-12537 就照常报。
