W najbardziej złożonym przypadku ESP do pełnej komunikacji będą potrzebne cztery klucze:
szyfrujący dla kanału relacji do uwierzytelniający dla kanału relacji do szyfrujący dla kanału relacji do uwierzytelniający dla kanału relacji do
Jest to kolejny powód, dla którego ręczna konfiguracja kanałów IPsec jest uciążliwa – w przypadku stosowania IKE wszystkie klucze uzgadniane są automatycznie.
Tryb transportowy i tunelowy Nagłówek IPsec – ESP można stosować w dwóch trybach: transportowym lub tunelowym. Typowy pakiet IP wygląda następująco (zakładając, że protokołem wyższej warstwy będzie TCP):
+----+-----+-------------------- | IP | TCP | dane użytkownika... +----+-----+--------------------
Tryb transportowy polega na tym, że pomiędzy nagłówek IP a TCP dokładamy jeszcze dodatkowo nagłówek IPsec (załóżmy, że jest to ESP). Część oznaczona podwójną linią jest zaszyfrowana i całkowicie nieprzezroczysta dla ewentualnego podsłuchującego. Podlega ona także ochronie integralności. +----+-----+========================== | IP | ESP | TCP | dane użytkownika... +----+-----+==========================
Jak widać, w trybie transportowym niewidoczne są dane użytkownika, ale nagłówek IP pozostaje widoczny.