Po włączeniu sniffera zobaczy on tylko zaszyfrowany pakiet opatrzony dwiema liczbami:
SPI () numer sekwencyjny
Wartość SPI jest stała, najczęściej jest generowana losowo i ma kluczowe znaczenie dla stron połączenia, a żadnego dla atakującego. Strony połączenia bowiem na podstawie SPI rozpoznają, do jakiej sesji (tunelu) IPsec przynależy dany pakiet i jakie w związku z tym zastosować szyfry oraz klucze do jego rozszyfrowania.
Przykładowo, SPI 0x123456 może oznaczać, że dany pakiet należy do kanału IPsec łączącego sieci i , szyfrowanego 3DES z kluczem . Inne SPI mogłoby oznaczać kanał między i , szyfrowany AES z kluczem . Numer SPI jest ustalany przez strony podczas tworzenia kanału i jest stały podczas jego istnienia.
Numer sekwencyjny jest losowany i zwiększany o 1 z każdym wysłanym przez dany kanał pakietem i służy do rozpoznawania pakietów o kolejności przestawionej podczas wędrówki po sieci oraz chroni przed atakami przez powtórzenie (). Ponieważ numer ten jest wartością 32-bitową, po 232 wysłanych pakietów kanał musi być zamknięty, a w jego miejsce stworzony nowy, z licznikiem startującym od nowej wylosowanej liczby.