mTLS là gì? mutual TLS và xác thực hai chiều giữa các service

mTLS hay còn gọi mutual TLS là cách dùng TLS để xác thực hai chiều. Client xác thực server và server cũng xác thực client bằng certificate.

Trong DevOps và SRE, mTLS hay dùng cho traffic nội bộ giữa các service. Mục tiêu là có identity rõ ràng cho mỗi service và encrypt mặc định cho service-to-service traffic, thay vì tin vào network nội bộ là an toàn.

Ví dụ: Service A gọi Service B. Với TLS thông thường, A chỉ kiểm tra B. Với mTLS, B cũng kiểm tra A có certificate hợp lệ và đúng identity trước khi xử lý request.

mTLS giúp giải quyết vấn đề gì

mTLS thường được chọn để giải quyết các nhu cầu sau

Biết chính xác ai đang gọi ai ở mức connection, không phụ thuộc vào header do client tự gửi
Giảm rủi ro service lạ gọi nhầm vào endpoint nhạy cảm trong mạng nội bộ
Encrypt cho traffic nội bộ để giảm rủi ro sniffing và tamper
Có tín hiệu rõ ràng khi kết nối bị từ chối, vì handshake fail có thể quan sát được

mTLS giúp xác thực identity. Còn chuyện service đó được phép làm gì vẫn cần policy phân quyền.

mTLS khác TLS ra sao

TLS phổ biến nhất là server authentication

Client kiểm tra server certificate để tin rằng đang kết nối đúng server
Server không bắt buộc phải kiểm tra client, trừ khi ứng dụng tự làm bằng API key hay token

mTLS thêm client authentication ngay trong handshake

Client gửi client certificate
Server verify certificate chain và xác định identity của client
Sau đó server mới áp policy phân quyền theo identity đó

Cách chọn nhanh

Public traffic thường dùng TLS vì không thể phát hành certificate cho mọi người dùng
Internal traffic giữa service thường hợp với mTLS vì bạn kiểm soát được identity và certificate lifecycle

Khi nào nên dùng mTLS trong nội bộ hệ thống

Nên dùng mTLS khi

Hệ thống có nhiều service và bạn cần kiểm soát service-to-service access rõ ràng
Bạn muốn làm zero trust nội bộ, không coi private network là vùng tin cậy tuyệt đối
Bạn có yêu cầu audit hoặc compliance cho traffic nội bộ

Chưa nên vội dùng mTLS khi

Team chưa có cách cấp và xoay vòng certificate tự động
Hệ thống nhỏ, ít service, rủi ro thấp nhưng cost vận hành mTLS lại cao
Có nhiều client bên ngoài khó quản lý certificate, lúc này mTLS phù hợp hơn ở một lớp gateway dành riêng cho client enterprise

Triển khai mTLS ở đâu

Ba cách triển khai phổ biến

Gateway: mTLS giữa gateway và upstream, hoặc giữa client enterprise và gateway
Service-to-service trực tiếp: mỗi service tự terminate TLS và verify client certificate
Service mesh: proxy xử lý mTLS và policy, application ít phải đổi code

Gợi ý chọn hướng

Muốn policy nhất quán và rollout nhanh cho nhiều service, service mesh thường dễ vận hành hơn
Hệ thống đơn giản, số service ít, terminate trực tiếp ở gateway hoặc application có thể đủ

mTLS ảnh hưởng latency và CPU thế nào

mTLS làm handshake nặng hơn TLS vì có thêm bước verify client certificate. Tác động rõ nhất xảy ra khi connection quá ngắn

Mỗi request tạo connection mới sẽ làm handshake chiếm phần lớn latency
CPU tăng vì crypto và certificate verification

Cách giảm tác động

Dùng keepalive và connection pooling để giảm số lần handshake
Ưu tiên session resumption nếu stack hỗ trợ
Tránh tạo connection mới cho mỗi request trong service-to-service call

Ví dụ: Một service gọi upstream theo kiểu mỗi request một connection sẽ thấy p95 tăng rõ. Khi chuyển sang keepalive, p95 giảm dù logic application không đổi.

Quản lý certificate cho mTLS

mTLS chạy ổn hay không phụ thuộc vào certificate lifecycle

Cấp certificate: CA nào ký, identity nằm ở đâu trong certificate
Phân phối certificate: workload lấy certificate từ secret store hay từ agent
Xoay vòng certificate: rotate trước khi hết hạn, rollout không làm rớt kết nối hàng loạt
Thu hồi certificate: revoke nhanh khi nghi ngờ key bị lộ hoặc workload bị compromise
Cập nhật trust bundle: thay CA phải có giai đoạn chuyển đổi, tránh một bên đổi trước làm handshake fail

Rủi ro lớn nhất là certificate hết hạn gây outage dây chuyền. Vì vậy automation rotate và cảnh báo sớm là bắt buộc.

Lỗi mTLS thường gặp và cách khoanh vùng nhanh

Các lỗi thường gặp

Certificate expired: fail đồng loạt sau một mốc thời gian
Clock drift: verify fail vì time trên node lệch
Chain sai: thiếu intermediate hoặc trust bundle không đồng bộ
SAN mismatch: identity trong certificate không khớp policy
Cipher suite mismatch: client và server không có cipher chung

Cách khoanh vùng nhanh

Xác định fail ở handshake hay fail sau khi đã handshake xong
Xem fail tập trung theo node, theo region hay theo một nhóm service
Kiểm tra expiry và time sync trước vì đây là nguyên nhân hay gặp nhất
Kiểm tra rollout trust bundle có bị lệch giữa các cụm không

Theo dõi mTLS để debug handshake fail

Các tín hiệu nên có

Handshake success rate và handshake error rate theo upstream
Handshake latency để tách network issue và certificate issue
Certificate expiry days cho các identity quan trọng
Log đủ rõ cho handshake failure, ít nhất phải có lý do fail

Mục tiêu là khi incident xảy ra, bạn trả lời được fail ở đâu, ai fail, fail vì lý do gì.

mTLS và phân quyền

mTLS cung cấp identity, nhưng phân quyền vẫn là policy riêng

Xác thực: mTLS giúp server biết client là ai dựa trên certificate
Phân quyền: policy quyết định client đó được gọi route nào, method nào

Một cách làm dễ vận hành

Chuẩn hóa identity theo một định danh ổn định như SPIFFE URI nếu bạn dùng hệ sinh thái này
Policy theo danh sách cho phép, service A được gọi service B ở những route cần thiết
Mặc định từ chối cho route nhạy cảm, chỉ mở khi có nhu cầu rõ ràng

Danh sách kiểm tra mTLS cho production

Có cơ chế cấp và xoay vòng certificate tự động chưa
TTL có hợp lý không, không quá dài để giảm rủi ro, không quá ngắn để tránh áp lực rotate
Cảnh báo expiry có chạy sớm ít nhất 14 đến 30 ngày không
Trust bundle rollout có giai đoạn chuyển đổi an toàn giữa CA cũ và CA mới không
Có handshake metrics và log đủ rõ để debug nhanh không
Có runbook cho expiry, clock drift, chain sai, SAN mismatch, cipher mismatch không

Kết luận

mTLS là cách đưa identity vào tầng transport để service-to-service traffic vừa encrypt vừa xác thực hai chiều. Dùng mTLS hiệu quả là chọn đúng phạm vi, vận hành certificate lifecycle chắc tay, và theo dõi handshake rõ ràng để xử lý sự cố nhanh.