服务器开启1521端口是建立Oracle数据库连接的必要前提,也是保障业务系统正常运行的关键环节，该端口默认用于Oracle数据库监听器与客户端之间的通信，若配置不当或未开启，将直接导致数据库连接失败，严重影响生产环境数据交互，正确配置并开放该端口，不仅涉及操作系统层面的防火墙设置，更关乎数据库监听服务的状态管理以及生产环境的安全加固。
核心结论：开启1521端口并非单一操作，而是一个包含服务启动、防火墙配置、安全加固及连通性测试的系统工程。
确认数据库监听服务状态
在操作系统层面开放端口之前,必须优先确保数据库内部服务已准备就绪，若监听服务未启动，即便防火墙设置完全正确，外部请求也无法到达数据库实例。
- 检查监听器状态
登录数据库服务器，使用Oracle用户执行命令，在命令行界面输入lsnrctl status，如果返回结果显示“TNS-12541: TNS:no listener”或类似错误，表明监听服务未启动。 - 启动监听服务
执行lsnrctl start命令启动监听，正常情况下，系统会反馈“The command completed successfully”信息。 - 验证监听端口
再次执行lsnrctl status，仔细查看输出信息中的“Listening Endpoints Summary”部分，确认监听器确实绑定在TCP协议的1521端口上，如果发现监听器绑定在其他非标准端口，需根据实际业务需求调整客户端连接字符串或修改数据库参数文件listener.ora。
操作系统防火墙配置实操
监听服务正常运行后,操作系统的防火墙是阻碍外部访问的主要屏障，根据操作系统的不同，配置方法存在显著差异。
Linux系统（CentOS/RedHat 7及以上版本）
现代Linux发行版多采用firewalld作为防火墙管理工具，相比传统的iptables，其操作更为灵活。
- 查询当前开放端口
执行firewall-cmd --list-ports，查看列表中是否已包含1521/tcp。 - 开启端口
执行命令firewall-cmd --zone=public --add-port=1521/tcp --permanent，其中--permanent参数至关重要，它确保规则在服务器重启后依然生效。 - 重载防火墙规则
执行firewall-cmd --reload，使刚才的配置立即生效。 - 验证配置
再次使用firewall-cmd --list-ports确认1521端口已成功加入信任列表。
Windows Server系统
Windows环境通常依赖图形化界面进行管理,操作逻辑与Linux截然不同。
- 打开高级安全设置
进入“控制面板”，选择“系统和安全”，点击“Windows Defender 防火墙”，在左侧导航栏点击“高级设置”，进入“高级安全Windows Defender防火墙”管理界面。 - 新建入站规则
点击右侧“新建规则”，在弹出的向导中选择“端口”，点击下一步，选择“TCP”，并在特定本地端口处填入“1521”。 - 配置操作策略
选择“允许连接”，点击下一步，根据服务器所在网络环境，勾选“域”、“专用”或“公用”配置文件，生产环境建议仅勾选必要的网络配置文件，避免在公用网络暴露风险。 - 命名规则
为规则命名，Oracle DB 1521”，方便后续管理与排查，点击完成。
云平台安全组配置
随着云计算的普及,大量数据库部署于云服务器（ECS/EC2）之上，仅配置操作系统防火墙是不够的，必须在云厂商控制台配置安全组。
- 定位安全组
登录云服务器管理控制台，找到对应实例绑定的安全组ID。 - 添加入方向规则
点击“配置规则”，选择“入方向”或“Inbound Rules”，点击“添加规则”或“快速添加”。 - 设置规则参数
协议类型选择“TCP”，端口范围填入“1521”，授权对象填入需要访问数据库的客户端IP地址或IP段，192.168.1.0/24”。 - 最小权限原则
切勿在授权对象中填写“0.0.0.0/0”，这会将数据库端口暴露给全网，极易遭受恶意扫描与攻击。
连通性测试与故障排查
完成上述配置后,必须进行严格的连通性测试，确保服务器开启1521端口操作成功。
- 使用Telnet测试
在客户端机器上打开命令行，执行telnet 服务器IP 1521，如果屏幕变黑或显示连接成功，说明网络链路畅通，若提示“连接失败”或“超时”，需按顺序排查：云安全组 -> 操作系统防火墙 -> 数据库监听状态。 - 使用Tnsping工具
Oracle客户端自带tnsping工具，执行tnsping 服务名，该工具不仅能测试端口连通性，还能验证Oracle Net Services配置是否正确，如果返回“OK”及响应时间，证明配置无误。 - 检查系统日志
若连接依然失败，需查看操作系统日志（如/var/log/messages或Windows事件查看器）以及数据库监听日志（$ORACLE_HOME/network/log/listener.log），日志中通常包含拒绝访问的具体原因。
安全加固建议
开放数据库端口伴随着安全风险,必须采取加固措施。
- IP白名单限制
无论是防火墙还是安全组，务必配置IP白名单，仅允许应用服务器IP或管理员运维IP访问1521端口，阻断所有未经授权的访问请求。 - 修改默认端口
虽然Oracle默认使用1521端口，但在高安全要求场景下，可以将监听器修改为非标准端口（如2521），这能有效规避自动化扫描工具的探测，降低被攻击概率。 - 启用SSL加密
默认的Oracle网络传输为明文传输，存在被窃听风险，建议在服务器端配置Oracle Advanced Security，启用SSL/TLS加密，确保数据在传输过程中的机密性与完整性。
相关问答
问：配置完成后，Telnet测试端口通，但数据库客户端连接报错“ORA-12514: TNS:listener does not currently know of service requested”，如何解决？
答：该错误表明网络链路已通，但数据库监听器未找到请求的服务名，这通常是因为数据库实例未注册到监听器，或listener.ora配置有误，解决方案：首先检查数据库参数service_names是否正确；尝试重启数据库实例，强制其向监听器注册服务；检查客户端tnsnames.ora文件中的SERVICE_NAME是否与服务器端一致。
问：服务器上有多个IP地址，如何限制Oracle监听器仅监听特定IP的1521端口？
答：出于安全考虑，多网卡服务器通常只希望监听内网IP，解决方法：编辑listener.ora文件，找到LISTENER配置段，将ADDRESS项中的HOST参数由主机名或0.0.0修改为指定的内网IP地址，保存文件后，使用lsnrctl reload重载配置，监听器将仅响应发往该特定IP的请求。
如果您在配置过程中遇到其他特殊网络环境问题,欢迎在评论区留言讨论。
首发原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/157112.html
