Atakujący nie wie zatem, o czym się rozmawia, ale wie za to, kto z kim tę konwersację prowadzi.
Tryb tunelowy zapewnia wyższy poziom ochrony – pakiet użytkownika jest w całości enkapsulowany w ESP, a na początek jest dokładany zupełnie nowy nagłówek IPn:
+-----+-----+=============================== | IPn | ESP | IP | TCP | dane użytkownika... +-----+-----+===============================
Jeśli stacja A i B będą się łączyły bezpośrednio za pomocą trybu tunelowego, to nagłówek IPn będzie praktycznie identyczny jak oryginalny IP i całość będzie praktycznie równa trybowi transportowemu. Ale dzięki trybowi tunelowemu jest możliwe tworzenie wirtualnych sieci prywatnych (VPN), które stanowią główne zastosowanie IPsec.
Kluczową cechą VPN jest możliwość stworzenia szyfrowanego tunelu pomiędzy dwiema bramkami (B) łączącymi dwie części sieci korporacyjnej przez sieć publiczną:
10.1.1.0/24 ----- B1 ========= B2 ------ 10.2.2.0/24
Atakujący widzi wówczas wyłącznie zaszyfrowane pakiety przesyłane pomiędzy B1 i B2. Oryginalne pakiety są ukryte w tunelu i podsłuchującemu nie jest znana ani ich treść, ani nawet zastosowana w sieci korporacyjnej adresacja.