Navicat 19c连接Oracle 19c出现ORA-28040错误

Question

在使用Navicat 19c连接Oracle 19c数据库时，用户常遇到ORA-28040错误。该错误通常表示“没有匹配的验证协议”，主要发生在客户端与服务器端使用的SQL*Net（Oracle Net Services）版本不兼容，或加密设置不一致时。ORA-28040错误常见于Oracle 12c及以上版本，特别是在启用了强身份验证（如AES加密）的环境中。解决此问题的关键在于确保Navicat所依赖的Oracle客户端（如Instant Client）版本与数据库服务器兼容，并正确配置sqlnet.ora文件中的加密参数（如SQLNET.ENCRYPTION_SERVER、SQLNET.CRYPTO_SEED等）。此外，检查网络服务名配置、更新驱动程序也是排查方向之一。

Answer 1

ORA-28040错误深度解析与解决方案：Navicat 19c连接Oracle 19c数据库

1. 问题现象概述

在使用Navicat 19c连接Oracle 19c数据库时，用户频繁遇到ORA-28040错误。该错误提示为“No matching authentication protocol was found”，通常表明客户端和服务器端使用的SQL*Net协议版本不兼容或加密设置存在差异。

2. 错误产生的背景环境

• Oracle 12c及以上版本开始默认启用了更强的身份验证机制（如AES加密）。
• 客户端使用的Oracle Instant Client版本过旧，无法支持新的加密算法。
• sqlnet.ora文件中的加密参数未正确配置。

3. 常见排查方向列表

排查项	说明
Instant Client版本	需确保使用的是19c版本的客户端库，以匹配Oracle 19c服务端。
sqlnet.ora配置	检查并配置SQLNET.ENCRYPTION_SERVER、SQLNET.CRYPTO_SEED等参数。
TNSPING测试	验证网络服务名是否能正常解析，排除命名配置问题。
驱动程序更新	确保Navicat使用的Oracle ODBC/JDBC驱动是最新的兼容版本。

4. sqlnet.ora关键配置示例

# 示例sqlnet.ora配置
SQLNET.ENCRYPTION_SERVER = REQUIRED
SQLNET.ENCRYPTION_TYPES_SERVER = (AES256,AES192,AES128)
SQLNET.CRYPTO_CHECKSUM_SERVER = REQUIRED
SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER = (SHA1, MD5)

5. 故障诊断流程图（Mermaid格式）

graph TD
        A[启动Navicat连接] --> B{连接失败？}
        B -- 是 --> C[查看错误码]
        C --> D{是否为ORA-28040？}
        D -- 是 --> E[检查Instant Client版本]
        D -- 否 --> F[其他错误处理]
        E --> G{版本是否匹配Oracle 19c？}
        G -- 是 --> H[检查sqlnet.ora配置]
        G -- 否 --> I[升级至19c Instant Client]
        H --> J{加密参数是否一致？}
        J -- 是 --> K[联系DBA确认服务器端设置]
        J -- 否 --> L[修改配置后重试]

6. 深度技术分析

ORA-28040错误的本质在于Oracle Net Services（SQL*Net）在身份验证阶段未能找到双方都能接受的加密/校验算法。Oracle 12c以后加强了安全策略，默认启用更复杂的加密机制，而一些旧版本的客户端（如11g Instant Client）并不支持这些新特性，导致握手失败。

此外，sqlnet.ora中若未显式定义加密类型，可能导致服务器端强制使用某些加密方式，而客户端无法响应，从而触发该错误。

对于Navicat而言，它依赖于外部的Oracle客户端库（如OCI或ODP.NET），因此必须确保所引用的客户端库版本与目标数据库版本一致，并且其配置文件路径被正确加载。

7. 解决方案汇总

1. 下载并安装Oracle Instant Client 19c Basic Package。
2. 将解压后的目录添加到系统PATH环境变量中。
3. 复制tnsnames.ora和sqlnet.ora文件至Instant Client目录下的network/admin子目录。
4. 在sqlnet.ora中添加如下内容以放宽加密限制：

   SQLNET.ENCRYPTION_SERVER=ACCEPTED
   SQLNET.CRYPTO_CHECKSUM_SERVER=ACCEPTED
   

5. 重启Navicat并重新尝试连接。
6. 如果仍存在问题，建议联系DBA确认服务器端的加密策略，并进行同步调整。