Jednokierunkowość Kolejną istotną cechą kanałów IPsec jest ich jednokierunkowość – dany kanał obsługuje tylko ruch idący z hosta do . Każda pełna łączność wykorzystuje dwa kanały – jeden od do , drugi od do . Każdy z nich ma inne SPI, osobny licznik sekwencyjny, inne klucze kryptograficzne.
Taki jednokierunkowy kanał IPsec (ESP lub AH) jest określany nazwą (która nie ma dobrego polskiego tłumaczenia, stąd w artykule używane jest określenie „kanał”). Każde SA charakteryzuje się przez adresy IP początku i końca oraz SPI.
Klucze kryptograficzne Do pełnej łączności między dwoma hostami potrzebne są dwa kanały IPsec. Jeśli wykorzystany zostanie protokół ESP, to każdy kanał będzie wymagał dwóch kluczy kryptograficznych – jednego do szyfrowania danych, drugiego do ochrony integralności i uwierzytelnienia. Jeśli będzie to AH, to odpadnie pierwszy klucz (szyfrujący).