軟件定義網絡（ Software Defined Network，SDN）引入控制層與轉發(fā)層分離簡化了網絡管理和功能部署，近年來得到了廣泛的關注。然而，SDN無法檢測由于網絡攻擊或者轉發(fā)規(guī)則的錯誤實施導致的數據包被錯誤轉發(fā)例如，SDN中轉發(fā)的數據包會被異常的規(guī)則或攻擊者丟棄、篡改或注入虛假數據包。此外，由于處于數據層的SDN交換機僅提供了簡化的數據轉發(fā)功能，因此作者無法簡單地部署傳統(tǒng)TP網絡中的數據轉發(fā)驗證方案。因此，作者需要提出一個適用于SDN的有效數據轉發(fā)驗證方案以確保數據包的正確轉發(fā)。已有SDN轉發(fā)驗證的方案通常通過逐跳驗證或者對比全部流的統(tǒng)計信息，這會帶來巨大的計算和通信開銷。文中基于 Open Flow協議提出了一個輕量級的SDN數據包轉發(fā)驗證方案LPV（ Lightweight Packet Forwarding Verification）。由于LPV利用SDN本身提供的 Packet-in消息機制以及組表讀取轉發(fā)結點的流轉發(fā)統(tǒng)計值，在檢測轉發(fā)異常行為以及定位異常行為結點的同時，避免了大量讀取轉發(fā)結點狀態(tài)而引入的計算和通信開銷.LPV利用流表規(guī)則對入口和出口交換機進行采樣，將釆樣信息的消息驗證碼MAC（ Message Authentication（ode）值和相應的流統(tǒng)計信息上報給控制器。由此，控制器可以通過對比包的MAC值和統(tǒng)計信息來檢測網絡中的異常轉發(fā)行為。與此同時，LPV可以通過分析收集的信息找出篡改或丟棄包的結點以定位異常行為的結點、通過基于隨機化采樣的轉發(fā)驗證機制，LPⅤ有效降低控制器和交換機中引入的處理和通信開銷同時，隨機化來桶實現了交換機轉發(fā)狀態(tài)的一致性檢測，任何攻擊者都無法通過推斷采樣來繞過LPV的檢測。作者在開源 Floodlight控制器和 ofsoftwarel3軟件交換機中實現了LPV并在wininet中進行了仿真實驗，實驗結果表明LPV能夠檢測及定位數據包篡改、流量劫持等轉發(fā)異常行為，同時僅弓入了大約10%的平均轉發(fā)延遲和小于10%的通信開銷。