Oracle Data Guard传输加密必须同时满足三个条件：主备库sqlnet.ora正确配置加密参数、LOG_ARCHIVE_DEST_n显式启用ENCRYPTION=ENABLED、且仅适用于LGWR SYNC/ASYNC模式；ENCRYPTION=ENABLED须置于参数末尾，主备值须完全一致，否则报ORA-16705等错误；缺任一条件将导致明文传输，抓包可见ARC0/LGWR关键字。
Oracle 12c中Data Guard实时重做传输加密不会自动生效，必须同时满足三个硬性条件：主备库sqlnet.ora加密配置正确、LOG_ARCHIVE_DEST_n显式启用ENCRYPTION=ENABLED、且仅用于LGWR SYNC或LGWR ASYNC模式。
LOG_ARCHIVE_DEST_n必须显式加ENCRYPTION=ENABLED
即使主备库sqlnet.ora都配了SQLNET.ENCRYPTION_TYPES_SERVER=(AES256)和SQLNET.ENCRYPTION_SERVER=required，只要LOG_ARCHIVE_DEST_2里没写ENCRYPTION=ENABLED，归档日志传输就是明文——因为DG日志传输由LGWR直连备库，不走通用Oracle Net加密栈。
-
ENCRYPTION=ENABLED必须放在参数字符串末尾，例如：LOG_ARCHIVE_DEST_2='SERVICE=standby_db ASYNC VALID_FOR=(ONLINE_LOGFILES,PRIMARY_ROLE) DB_UNIQUE_NAME=standby_db ENCRYPTION=ENABLED' - 若前面有
DELAY=30或QUOTA_SIZE=1G等参数，ENCRYPTION=ENABLED必须排最后，否则报ORA-16032 -
ARCH模式不支持该参数，强行添加会被忽略且无报错，但加密不生效 - 主备库该参数值必须完全一致，否则备库接收日志时报
ORA-16705或ORA-16727
sqlnet.ora是前置依赖，不是可选配置
ENCRYPTION=ENABLED只是开关，底层加密能力由sqlnet.ora控制。缺任一配置，执行ALTER SYSTEM SWITCH LOGFILE会直接报ORA-16191: Primary log shipping client not authenticated。
- 主备库
sqlnet.ora都必须包含：SQLNET.ENCRYPTION_TYPES_CLIENT=(AES256)、SQLNET.ENCRYPTION_TYPES_SERVER=(AES256)、SQLNET.ENCRYPTION_SERVER=required - 不支持
SQLNET.ENCRYPTION_CLIENT=required这种写法，DG日志传输不认这个参数 - 版本限制：仅Oracle 12.1+识别
ENCRYPTION=ENABLED；11g解析该参数直接报ORA-16032
验证是否真加密，别信V$ARCHIVE_DEST的状态
SELECT STATUS FROM V$ARCHIVE_DEST显示VALID不代表加密已启用——最典型的失败现象是“看起来一切正常”，但抓包看到全是明文TCP流量。
- 用
tcpdump -i any port 1521（或对应DG监听端口）抓包，检查payload是否为可读文本；若能直接看到ARC0、LGWR等关键字，说明未加密 - 在备库执行
SELECT * FROM V$DATAGUARD_STATS WHERE NAME = 'encryption status';（12.2+支持），返回ENABLED才表示真启用 - 密钥完全自动管理：主库生成，通过加密的控制文件和归档头同步到备库，无需手动操作
ADMINISTER KEY MANAGEMENT或配置wallet
最容易被忽略的是参数位置敏感性和模式匹配——ENCRYPTION=ENABLED写在LGWR SYNC AFFIRM后面没问题，但若混进LGWR SYNC ARCH这种非法组合，参数会被静默忽略，既不报错也不加密。
