軟件定義網(wǎng)絡(luò)（ Software Defined Network，SDN）引入控制層與轉(zhuǎn)發(fā)層分離簡(jiǎn)化了網(wǎng)絡(luò)管理和功能部署，近年來(lái)得到了廣泛的關(guān)注。然而，SDN無(wú)法檢測(cè)由于網(wǎng)絡(luò)攻擊或者轉(zhuǎn)發(fā)規(guī)則的錯(cuò)誤實(shí)施導(dǎo)致的數(shù)據(jù)包被錯(cuò)誤轉(zhuǎn)發(fā)例如，SDN中轉(zhuǎn)發(fā)的數(shù)據(jù)包會(huì)被異常的規(guī)則或攻擊者丟棄、篡改或注入虛假數(shù)據(jù)包。此外，由于處于數(shù)據(jù)層的SDN交換機(jī)僅提供了簡(jiǎn)化的數(shù)據(jù)轉(zhuǎn)發(fā)功能，因此作者無(wú)法簡(jiǎn)單地部署傳統(tǒng)TP網(wǎng)絡(luò)中的數(shù)據(jù)轉(zhuǎn)發(fā)驗(yàn)證方案。因此，作者需要提出一個(gè)適用于SDN的有效數(shù)據(jù)轉(zhuǎn)發(fā)驗(yàn)證方案以確保數(shù)據(jù)包的正確轉(zhuǎn)發(fā)。已有SDN轉(zhuǎn)發(fā)驗(yàn)證的方案通常通過逐跳驗(yàn)證或者對(duì)比全部流的統(tǒng)計(jì)信息，這會(huì)帶來(lái)巨大的計(jì)算和通信開銷。文中基于 Open Flow協(xié)議提出了一個(gè)輕量級(jí)的SDN數(shù)據(jù)包轉(zhuǎn)發(fā)驗(yàn)證方案LPV（ Lightweight Packet Forwarding Verification）。由于LPV利用SDN本身提供的 Packet-in消息機(jī)制以及組表讀取轉(zhuǎn)發(fā)結(jié)點(diǎn)的流轉(zhuǎn)發(fā)統(tǒng)計(jì)值，在檢測(cè)轉(zhuǎn)發(fā)異常行為以及定位異常行為結(jié)點(diǎn)的同時(shí)，避免了大量讀取轉(zhuǎn)發(fā)結(jié)點(diǎn)狀態(tài)而引入的計(jì)算和通信開銷.LPV利用流表規(guī)則對(duì)入口和出口交換機(jī)進(jìn)行采樣，將釆樣信息的消息驗(yàn)證碼MAC（ Message Authentication（ode）值和相應(yīng)的流統(tǒng)計(jì)信息上報(bào)給控制器。由此，控制器可以通過對(duì)比包的MAC值和統(tǒng)計(jì)信息來(lái)檢測(cè)網(wǎng)絡(luò)中的異常轉(zhuǎn)發(fā)行為。與此同時(shí)，LPV可以通過分析收集的信息找出篡改或丟棄包的結(jié)點(diǎn)以定位異常行為的結(jié)點(diǎn)、通過基于隨機(jī)化采樣的轉(zhuǎn)發(fā)驗(yàn)證機(jī)制，LPⅤ有效降低控制器和交換機(jī)中引入的處理和通信開銷同時(shí)，隨機(jī)化來(lái)桶實(shí)現(xiàn)了交換機(jī)轉(zhuǎn)發(fā)狀態(tài)的一致性檢測(cè)，任何攻擊者都無(wú)法通過推斷采樣來(lái)繞過LPV的檢測(cè)。作者在開源 Floodlight控制器和 ofsoftwarel3軟件交換機(jī)中實(shí)現(xiàn)了LPV并在wininet中進(jìn)行了仿真實(shí)驗(yàn)，實(shí)驗(yàn)結(jié)果表明LPV能夠檢測(cè)及定位數(shù)據(jù)包篡改、流量劫持等轉(zhuǎn)發(fā)異常行為，同時(shí)僅弓入了大約10%的平均轉(zhuǎn)發(fā)延遲和小于10%的通信開銷。