只在CentOS防火墙放行1521端口大概率连不上Oracle，因连接失败多源于listener.ora中HOST未设为真实IP、SELinux未设为permissive或disabled、以及未启用共享服务器模式导致随机端口被拦。
只在CentOS防火墙里放行1521端口，大概率连不上Oracle——因为Oracle连接失败常不在网络层，而在监听绑定、SELinux或共享套接字配置上。
firewalld vs iptables：先确认你用的是哪个防火墙
CentOS 7/8 默认用 firewalld，但很多Oracle部署文档仍沿用 iptables 配置，混用会导致规则不生效。
- 查当前启用的防火墙：
systemctl status firewalld（若显示 active，则用firewall-cmd）；若报“not found”或 inactive，再查systemctl status iptables - 如果两个都停着，Oracle 连接失败就和防火墙无关，问题一定出在监听器或 Oracle 实例本身
- 切勿同时启用两者：曾有案例因
firewalld和iptables规则冲突，导致1521端口看似开放实则被静默丢包
用 firewall-cmd 开放 1521 端口（推荐 CentOS 7+）
这是最稳妥的方式，无需手动编辑配置文件，且支持运行时生效。
- 永久添加端口：
sudo firewall-cmd --permanent --zone=public --add-port=1521/tcp - 重载规则（必须！）：
sudo firewall-cmd --reload（仅--reload，不是restart） - 验证是否成功：
sudo firewall-cmd --query-port=1521/tcp→ 返回yes才算真正生效 - 别漏掉 zone：若 Oracle 客户端从非默认网段来（比如 Docker 容器或跳板机），需确认该 IP 所属 zone 是否为
public，可用firewall-cmd --get-active-zones查看
用 iptables 开放 1521 端口（仅限明确禁用 firewalld 的场景）
有些老脚本或自动化工具仍依赖 iptables，此时必须确保服务已启用且规则写对位置。
- 先关掉 firewalld：
sudo systemctl stop firewalld && sudo systemctl disable firewalld - 安装并启用 iptables-services：
sudo yum install -y iptables-services && sudo systemctl start iptables && sudo systemctl enable iptables - 编辑
/etc/sysconfig/iptables，在COMMIT前插入这一行：-A INPUT -p tcp -m state --state NEW -m tcp --dport 1521 -j ACCEPT - 重启服务：
sudo systemctl restart iptables，再执行sudo service iptables save（否则重启后丢失） - 注意顺序：这条规则必须放在所有
REJECT或DROP规则之前，否则会被拦截
开放端口只是第一步，连不上请立刻检查这三处
90% 的“防火墙已开但连不上”问题，卡在这三个地方：
-
listener.ora中的HOST值不能是localhost或127.0.0.1，得换成本机真实 IP（如192.168.1.100）或可被客户端解析的主机名；改完必须lsnrctl stop && lsnrctl start，reload不生效 - CentOS 上 SELinux 必须设为
permissive或disabled：sudo setenforce 0（临时），再改/etc/selinux/config中SELINUX=disabled - Linux 不需要注册表，但 Oracle 实例必须启用共享服务器模式（尤其高并发场景），否则监听器分配的随机端口会被防火墙拦住；可通过
sqlplus / as sysdba执行SHOW PARAMETER shared_servers查看，值为0就得调大
真正难的从来不是敲那条 firewall-cmd，而是从 telnet 通了之后，发现 tnsping 超时、sqlplus 报 ORA-12170，这时就得回头翻监听日志、查 lsnrctl status 输出里的 Listening Endpoints Summary —— 绑定地址对不对，才是生死线。
