Para uma VPN site-to-site, qual modo IPsec encapsula e criptografa o pacote IP original inteiro?

O modo de túnel IPsec com ESP (Encapsulating Security Payload) é a escolha correta porque ele encapsula e criptografa o pacote IP original inteiro, incluindo o cabeçalho IP e os dados. Isso cria um novo cabeçalho IP externo, fornecendo confidencialidade, integridade e autenticação para o tráfego entre sites, o que é essencial para VPNs site-to-site. O modo de transporte IPsec, seja com AH ou ESP, apenas criptografa a carga útil do pacote IP original, mantendo o cabeçalho IP original visível. Isso é mais adequado para comunicações host-a-host seguras, não para VPNs site-to-site onde a rede inteira precisa ser protegida. O AH (Authentication Header) fornece autenticação e integridade, mas não criptografia. Para uma VPN site-to-site que exige confidencialidade, o ESP é necessário.