軟件定義網(wǎng)絡(luò)（ Software Defined Network，SDN）引入控制層與轉(zhuǎn)發(fā)層分離簡化了網(wǎng)絡(luò)管理和功能部署，近年來得到了廣泛的關(guān)注。然而，SDN無法檢測由于網(wǎng)絡(luò)攻擊或者轉(zhuǎn)發(fā)規(guī)則的錯誤實施導(dǎo)致的數(shù)據(jù)包被錯誤轉(zhuǎn)發(fā)例如，SDN中轉(zhuǎn)發(fā)的數(shù)據(jù)包會被異常的規(guī)則或攻擊者丟棄、篡改或注入虛假數(shù)據(jù)包。此外，由于處于數(shù)據(jù)層的SDN交換機僅提供了簡化的數(shù)據(jù)轉(zhuǎn)發(fā)功能，因此作者無法簡單地部署傳統(tǒng)TP網(wǎng)絡(luò)中的數(shù)據(jù)轉(zhuǎn)發(fā)驗證方案。因此，作者需要提出一個適用于SDN的有效數(shù)據(jù)轉(zhuǎn)發(fā)驗證方案以確保數(shù)據(jù)包的正確轉(zhuǎn)發(fā)。已有SDN轉(zhuǎn)發(fā)驗證的方案通常通過逐跳驗證或者對比全部流的統(tǒng)計信息，這會帶來巨大的計算和通信開銷。文中基于 Open Flow協(xié)議提出了一個輕量級的SDN數(shù)據(jù)包轉(zhuǎn)發(fā)驗證方案LPV（ Lightweight Packet Forwarding Verification）。由于LPV利用SDN本身提供的 Packet-in消息機制以及組表讀取轉(zhuǎn)發(fā)結(jié)點的流轉(zhuǎn)發(fā)統(tǒng)計值，在檢測轉(zhuǎn)發(fā)異常行為以及定位異常行為結(jié)點的同時，避免了大量讀取轉(zhuǎn)發(fā)結(jié)點狀態(tài)而引入的計算和通信開銷.LPV利用流表規(guī)則對入口和出口交換機進行采樣，將釆樣信息的消息驗證碼MAC（ Message Authentication（ode）值和相應(yīng)的流統(tǒng)計信息上報給控制器。由此，控制器可以通過對比包的MAC值和統(tǒng)計信息來檢測網(wǎng)絡(luò)中的異常轉(zhuǎn)發(fā)行為。與此同時，LPV可以通過分析收集的信息找出篡改或丟棄包的結(jié)點以定位異常行為的結(jié)點、通過基于隨機化采樣的轉(zhuǎn)發(fā)驗證機制，LPⅤ有效降低控制器和交換機中引入的處理和通信開銷同時，隨機化來桶實現(xiàn)了交換機轉(zhuǎn)發(fā)狀態(tài)的一致性檢測，任何攻擊者都無法通過推斷采樣來繞過LPV的檢測。作者在開源 Floodlight控制器和 ofsoftwarel3軟件交換機中實現(xiàn)了LPV并在wininet中進行了仿真實驗，實驗結(jié)果表明LPV能夠檢測及定位數(shù)據(jù)包篡改、流量劫持等轉(zhuǎn)發(fā)異常行為，同時僅弓入了大約10%的平均轉(zhuǎn)發(fā)延遲和小于10%的通信開銷。