Welke IPsec-modus wordt gebruikt wanneer de bestemming van een pakket verschilt van het beveiligingsterminatingpunt?

De tunnelmodus van IPsec wordt gebruikt wanneer het beveiligingsterminatingpunt (de encryptie- en decryptiepunt) niet hetzelfde is als de uiteindelijke bestemming van het pakket. Dit is typisch het geval bij VPN's tussen gateways, waarbij de gateways de IPsec-beveiliging afhandelen en het interne netwerk ongewijzigd doorsturen. De tunnelmodus versleutelt de gehele originele IP-header en -payload en voegt een nieuwe IP-header toe. De transportmodus beveiligt alleen de payload en de transportlaagheader, waarbij de originele IP-header behouden blijft. Deze modus wordt gebruikt wanneer de beveiliging direct tussen de twee communicerende hosts plaatsvindt. Main en aggressive zijn fasen van IKE (Internet Key Exchange), geen IPsec-modi.