MPTCP giúp một kết nối TCP duy trì hoặc sử dụng nhiều đường mạng trên cùng một phiên truyền dữ liệu. Tuy nhiên, máy chủ có nhiều card mạng chưa chắc đang dùng MPTCP; tính năng này cần được ứng dụng và hệ thống mạng cấu hình phù hợp. Lỗ hổng Linux Kernel được công bố gần đây cũng cho thấy cần kiểm tra cả cấu hình MPTCP lẫn trạng thái cập nhật Kernel.
MPTCP là gì?
MPTCP, viết tắt của Multipath TCP, là phần mở rộng của TCP cho phép một kết nối logic truyền dữ liệu qua nhiều đường mạng. Mỗi đường truyền được gọi là một subflow; các subflow cùng thuộc một phiên MPTCP.
Theo tài liệu MPTCP của Linux Kernel, cơ chế này có thể phối hợp nhiều giao diện mạng, chọn đường truyền phù hợp hơn hoặc chuyển lưu lượng sang đường còn hoạt động khi một đường bị gián đoạn. Đặc tả của giao thức nằm trong RFC 8684.
| Đặc điểm | TCP thông thường | MPTCP |
|---|---|---|
| Đường truyền trong một kết nối | Thường dùng một đường | Có thể dùng nhiều subflow |
| Khi một đường mạng gặp sự cố | Kết nối có thể bị gián đoạn và cần kết nối lại | Có thể tiếp tục qua đường khác nếu đã thiết lập và cấu hình phù hợp |
| Điều kiện sử dụng | Hai đầu hỗ trợ TCP | Ứng dụng, Kernel và hai đầu kết nối cần hỗ trợ MPTCP |
| Khả năng tương thích | Rộng | Có thể quay về TCP thường nếu phía kia hoặc thiết bị trung gian không hỗ trợ MPTCP |
MPTCP thuộc tầng truyền tải. Nó không đồng nghĩa với bonding hai card mạng ở tầng liên kết, cũng không tự động thay thế cơ chế cân bằng tải hay định tuyến dự phòng của hạ tầng.
MPTCP có vai trò gì trên Linux Server?
MPTCP hữu ích khi hai đầu kết nối có nhiều đường truyền khả dụng và ứng dụng cần tận dụng chúng. Hiệu quả thực tế phụ thuộc vào cấu hình địa chỉ, định tuyến, bộ lập lịch gói tin và khả năng hỗ trợ của phía kết nối còn lại.
Duy trì phiên kết nối khi một đường truyền bị gián đoạn
Một ứng dụng di động có thể chuyển từ Wi-Fi sang mạng di động mà không phải tạo lại phiên kết nối từ đầu. Với máy chủ hoặc gateway có hai kết nối Internet, MPTCP có thể giúp luồng dữ liệu tiếp tục qua đường còn hoạt động, nếu subflow dự phòng đã được thiết lập và định tuyến đúng.
Điều này có thể giảm gián đoạn, nhưng không bảo đảm mọi kết nối sẽ chuyển đổi tức thời. Nếu đường dự phòng không truy cập được tới đầu bên kia, hoặc firewall và định tuyến chặn subflow, MPTCP không thể tự khắc phục.
Kết hợp hoặc lựa chọn đường truyền
MPTCP có thể sử dụng nhiều đường truyền đồng thời để tăng thông lượng, hoặc ưu tiên đường có độ trễ, mức mất gói hay chi phí phù hợp hơn. Ví dụ, một hệ thống truyền dữ liệu giữa hai điểm có cả đường truyền cố định và đường di động có thể phân phối lưu lượng qua nhiều đường.
Không nên mặc định rằng cứ bật MPTCP là băng thông sẽ được cộng gộp theo tổng tốc độ của các đường. Kết quả còn phụ thuộc vào khả năng của cả hai đầu, chất lượng từng đường truyền và chính sách của bộ lập lịch.
Linux Server cần gì để sử dụng MPTCP?
Bật hỗ trợ MPTCP trong Kernel chưa đủ để mọi ứng dụng tự động dùng nhiều đường. Ứng dụng phải tạo socket MPTCP; hệ thống cần biết địa chỉ nào được phép sử dụng và cách quản lý các subflow. Linux hỗ trợ cả path manager trong Kernel và path manager do chương trình người dùng điều khiển.
Trước khi triển khai, quản trị viên nên xác nhận:
- Ứng dụng và máy chủ ở đầu kia có hỗ trợ MPTCP hay không
- Các địa chỉ IP và giao diện mạng được khai báo đúng cho path manager
- Bảng định tuyến có thể đưa lưu lượng phản hồi về đúng giao diện
- Firewall, NAT, load balancer và thiết bị trung gian có xử lý được TCP option của MPTCP hay không
- Chính sách tạo subflow có giới hạn số lượng và chỉ quảng bá các địa chỉ cần thiết hay không
Nếu phía bên kia hoặc thiết bị trung gian không hỗ trợ MPTCP, phiên kết nối có thể quay về TCP thông thường và chỉ dùng một đường. Vì thế, cần kiểm tra hành vi thực tế trên toàn tuyến trước khi coi MPTCP là cơ chế dự phòng của dịch vụ.
Lỗ hổng CVE-2026-98432 liên quan gì đến MPTCP?
Ngày 27/10/2026, Anthropic công bố nghiên cứu về một lỗ hổng Linux Kernel và cho biết mô hình Claude đã hỗ trợ xây dựng bằng chứng khai thác trong môi trường thử nghiệm. Bằng chứng này nhắm tới máy chủ Linux có MPTCP listener và mô tả khả năng thực thi lệnh từ xa với quyền cao. Lỗ hổng được định danh là CVE-2026-98432; bài phân tích của BleepingComputer đăng ngày 30/10 cũng nêu rủi ro này. Anthropic cho biết bản vá đã được đưa vào các nhánh Kernel ổn định còn được duy trì.
Điểm cần phân biệt là bằng chứng khai thác được công bố sử dụng MPTCP listener, nhưng mô tả kỹ thuật của lỗ hổng nằm trong xử lý TCP/IPv4 của Linux Kernel. Red Hat cũng mô tả lỗi là tình trạng race condition có thể khiến bộ nhớ bị giải phóng trong khi vẫn đang được sử dụng; điểm CVSS được công bố là 9,8. Vì vậy, không nên kết luận rằng máy chủ an toàn chỉ vì không chủ động triển khai MPTCP. Hãy kiểm tra trạng thái ảnh hưởng và bản vá theo đúng nhà cung cấp hệ điều hành.
Cách kiểm tra và giảm rủi ro trên Linux Server
Ưu tiên cập nhật Kernel theo khuyến nghị của nhà cung cấp hệ điều hành. Phiên bản Linux hiển thị trên máy không phải lúc nào cũng đủ để xác định đã có bản sửa hay chưa, vì các nhà cung cấp có thể đưa bản vá vào gói Kernel của họ theo lịch riêng.
Kiểm tra phiên bản hệ điều hành và Kernel đang chạy
Có thể dùng các lệnh sau để xác định hệ điều hành và Kernel hiện tại:
cat /etc/os-releaseuname -rSau đó tra cứu CVE-2026-98432 trong trang thông báo bảo mật của nhà cung cấp. Cài gói Kernel mới chưa đồng nghĩa máy đã chạy Kernel đó: thông thường cần khởi động lại máy, trừ khi hệ thống đang dùng cơ chế live patch và xác nhận bản vá đã được áp dụng.
Xác định MPTCP có được bật và có listener đang hoạt động không
sysctl net.mptcp.enabledss -MlnpLệnh đầu cho biết MPTCP socket có thể được tạo trong network namespace hiện tại hay không. Lệnh thứ hai có thể liệt kê socket MPTCP đang lắng nghe nếu phiên bản ss trên máy hỗ trợ tùy chọn này. MPTCP được bật không có nghĩa là ứng dụng đang mở listener MPTCP; cần kiểm tra cả socket và cấu hình ứng dụng.
Tắt MPTCP nếu hệ thống không cần dùng
Nếu máy chủ không có nhu cầu sử dụng MPTCP, quản trị viên có thể tạm thời tắt khả năng tạo MPTCP socket trong namespace hiện tại:
sudo sysctl -w net.mptcp.enabled=0Đây chỉ là biện pháp thu hẹp bề mặt rủi ro đối với cấu hình MPTCP được mô tả trong nghiên cứu. Việc tắt MPTCP không thay thế việc cập nhật Kernel, vì lỗi được mô tả trong xử lý TCP/IPv4. Nếu cần giữ thiết lập sau khi khởi động lại, hãy cấu hình theo cách quản lý sysctl của bản phân phối đang sử dụng.
Rà soát máy chủ chạy ứng dụng trong container
Container dùng chung Kernel của máy chủ host. Vì vậy, khi cập nhật bảo mật, cần kiểm tra và cập nhật Kernel trên host hoặc node Kubernetes, thay vì chỉ cập nhật gói bên trong container. Với hệ thống nhiều node, cần theo dõi trạng thái từng node và xác nhận node đã chạy Kernel được vá sau khi cập nhật.
Nếu doanh nghiệp vận hành ứng dụng trên Linux Cloud Server, có thể tham khảo thêm bài Cloud Server Linux là gì? và thông tin về dịch vụ Bizfly Cloud Server. Việc quản trị bản vá hệ điều hành cần được đưa vào quy trình vận hành máy chủ, bên cạnh kiểm soát truy cập và firewall.
Câu hỏi thường gặp về MPTCP
MPTCP có tự động tăng tốc độ Internet không?
Không. MPTCP có thể dùng nhiều đường truyền, nhưng tốc độ thực tế phụ thuộc vào hai đầu kết nối, ứng dụng, chất lượng mạng, định tuyến và bộ lập lịch. Chỉ bật hỗ trợ trong Kernel không bảo đảm thông lượng sẽ tăng.
Linux Server có tự động dùng MPTCP khi bật tính năng này không?
Không. Ứng dụng cần tạo socket MPTCP và hệ thống phải được cấu hình để quản lý các subflow. Nếu đối tác kết nối hoặc thiết bị trung gian không hỗ trợ, kết nối có thể quay về TCP thông thường.
Tắt MPTCP có xử lý được CVE-2026-98432 không?
Không đủ. Tắt MPTCP có thể giảm rủi ro gắn với cấu hình listener được nêu trong nghiên cứu, nhưng không thay thế bản vá cho Linux Kernel. Hãy đối chiếu CVE với thông báo bảo mật của nhà cung cấp và cập nhật gói phù hợp.
MPTCP có mã hóa dữ liệu không?
Không. MPTCP quản lý đường truyền ở tầng TCP, không thay thế TLS, SSH hoặc cơ chế mã hóa của ứng dụng. Dữ liệu nhạy cảm vẫn cần được bảo vệ bằng giao thức mã hóa phù hợp.
MPTCP cho phép một kết nối TCP sử dụng nhiều đường mạng để cải thiện khả năng duy trì kết nối hoặc tận dụng tài nguyên mạng. Trên Linux Server, tính năng này chỉ phát huy tác dụng khi ứng dụng, Kernel, định tuyến và các thiết bị trung gian được cấu hình đồng bộ. Với CVE-2026-98432, hãy kiểm tra bản vá theo nhà cung cấp và xác nhận máy đang chạy Kernel đã cập nhật; không dựa riêng vào việc MPTCP có được bật hay không.
