软件定义网络（Software Defined Network,SDN）作为一种新型的网络架构,它将传统网络中的数据平面和控制平面进行了解耦,为网络带来了更高的灵活性和可编程性。然而,这种新的网络架构也带来一定的安全风险,在SDN网络下,控制器通过下发流表规则对数据平面进行集中控制,防火墙作为保护用户内部网络的常用功能,面临着许多传统网络中不存在的风险:首先,SDN下的防火墙通常会接收到各种用户应用程序的配置,而它们的防火墙规则可能并不相同,因此导致防火墙中存在相互冲突,这种现象称为内部规则冲突;其次,用户可以利用SDN提供的修改动作修改数据包首部以完成它们的网络功能,这种操作会导致应用程序可以通过一系列的修改数据包首部信息的操作来实现绕过防火墙规则的检查的目的,导致防火墙规则失效,引发安全问题,称为规则绕行冲突。因此,本文针对上述两种SDN下的防火墙规则冲突问题进行研究,主要研究内容如下:（1）针对SDN下防火墙内部规则冲突问题,本文对它产生的过程和原因进行了分析,并对相关冲突进行定义和规则化表示,在此基础上提出一种基于HPT树的检测方法,该方法将SDN防火墙规则用哈希表加Patricia树的结构进行存储,加速后续冲突检测时的规则查找过程,该方法能够准确检测防火墙内部冲突的规则,相对传统算法,有效减少了检测算法的时间开销。（2）针对SDN下全网的规则绕行冲突问题,本文对其原理进行详细描述,然后对针对该问题的经典解决方法别名集算法进行了分析,解释了其中的不足,在此基础上提出了一种基于转发图的改进方法,该方法通过收集网络中修改数据包的流表项并建立转发图,从而根据转发图来判断数据包在网络中的实际转发路径,弥补了别名集算法不检查数据包实际转发路径的缺陷,提高了绕行冲突检测的准确性。（3）设计了SDN下的防火墙规则冲突检测系统,并在ONOS控制器上进行了系统实现。分别对防火墙的内部规则冲突检测算法和规则绕行冲突检测算法进行了性能测试和功能测试。实验结果证明了本文提出的基于HPT树的内部规则冲突检测算法能够有效减少检测的时间消耗,加快检测过程;而基于转发图的规则绕行冲突检测方法具有良好的可行性与有效性。