软件定义网络(Software-DefinedNetworking,SDN)是一种新型网络架构,它将传统网络中的数据平面和控制平面解耦合,并通过高度集中的控制逻辑来管理和操作网络。由于网络的高度可编程性和动态配置功能使得网络管理具有很强的灵活性和便利性。目前,SDN网络已经在美国的Internet2、日本的JGN2plus等多个科研机构中得到部署,国内的一些知名高校和研究机构也开始研究和部署SDN相关的试验平台。随着SDN架构的发展和相关设备的使用,基于OpenFlow协议的SDN网络也面临着很多新的安全问题。由于OpenFlow协议是无状态的,数据平面不具备策略分析能力,攻击者可以通过流表项修改数据包致使数据流绕过既定安全策略,导致规则冲突,大大降低网络安全性能。在SDN网络中,交换机等网络设备对控制器下发的流规则是完全信任的,一旦流规则遭到了攻击者的恶意篡改,整个网络的安全性能将面临严重威胁。攻击者可以通过流规则改写数据包头域,从而达到绕过安全规则实行恶意攻击的目的。就现阶段研究而言,国内外研究主要通过图搜索、数据包头空间解析等方法来实现规则冲突检测,通过基于角色的身份认证策略、添加流标签、数据重路由的方法来解决冲突,但仍存在以下问题有待改善:(1)图搜索算法中建立图索引时间长,数量多,导致检测时间难以满足网络实际需求;(2)数据包头空间解析算法中检测准确率高,但其对全网规则进行遍历的特性同样导致检测时间长;(3)在规则冲突解决中,基于角色的身份认证,没有考虑到规则之间的依赖性,导致误报,漏报,而添加流标签的方法又有可能引进新的匹配问题。依托国家重点基础研究发展计划(973计划)项目—“可重构信息通信基础网络体系研究”,以检测和解决SDN中的规则冲突为研究目标,本文对图搜索算法、头空间解析算法以及规则冲突解决方法提出相应的优化和改进策略。本文的研究工作及主要贡献如下:1.针对基于图搜索的规则冲突检测算法,提出了一种基于Path-Tree模型的规则冲突检测机制,该方法利用Path-Tree的特性,将数据平面端到端的可达性集中于一次图索引过程,所建立的最小等价图大大减小了端到端之间可达性验证的索引次数,从而降低了检测时间,仿真结果表明相比于检测工具Flowchecker,本文在检测时间上大约减少了14%。2.针对现有头空间解析算法中规则冲突时间开销大的问题,提出了一种高效的流规则冲突检测算法,该机制通过压缩流表项,建立基于端口的规则拓扑,根据该拓扑直接计算端到端的可达性,从而快速地检测网络中的规则冲突。仿真结果表明在同等条件下,相比于现有的检测机制,本文所提机制在检测时间上可降低约15%。3.针对规则冲突解决中没有考虑到规则之间的依赖性的问题,提出了一种基于安全路径重路由的冲突解决方法。通过获取实时的SDN网络状态,定义交换机节点的某些性质为特征值,并利用BP神经网络对节点行为进行预测来判断节点的安全状态,最后将节点情况实时反馈给控制器,控制器根据交换机情况选择一条较安全的路径进行数据的重路由,从而实现规避危险节点,达到解决规则冲突的目的。