Qual modo IPsec é usado quando o destino de um pacote difere do ponto de terminação de segurança?

O modo túnel (tunnel mode) IPsec é usado quando o destino final do pacote IP não é o mesmo que o ponto de terminação de segurança (security endpoint), como um firewall ou gateway VPN. Nesse modo, o pacote IP original inteiro é encapsulado dentro de um novo pacote IP, com um novo cabeçalho IP e cabeçalhos IPsec, protegendo tanto o payload quanto o cabeçalho original. O modo de transporte (transport mode) IPsec é usado quando o destino final do pacote IP é o próprio ponto de terminação de segurança. Ele protege apenas o payload do pacote IP original, mantendo o cabeçalho IP original. Os modos "main" e "aggressive" são modos de troca de chaves IKE (Internet Key Exchange), não modos de operação IPsec.