Zaletą stosowania trybu tunelowego jest niewielki narzut wielkości pakietu (mniej niż 2% przy MTU 1500 bajtów) wynikający z konieczności dodawania drugiego nagłówka IP. Wadą trybu transportowego jest niemożność tunelowania w nim pakietów dla innych sieci.
IPSec NAT Traversal W przypadku protokołu AH nie jest możliwa zamiana adresu źródłowego w nagłówku pakietu IP, gdyż cały nagłówek zabezpieczony jest przed zmianą. Do nagłówka dodawany jest skrót kryptograficzny powstały z sumy kontrolnej pakietu oraz tajnego hasła. Jakakolwiek modyfikacja pakietu uznana będzie przez drugą stronę za naruszenie integralności danych. Dla protokołu AH nie jest możliwa translacja adresów.
W przypadku protokołu ESP sprawa wygląda lepiej, ponieważ ochronie integralności nie podlega zewnętrzny nagłówek IP, dlatego możliwa jest zamiana źródłowego adresu IP. Jednak gdy istnieje wielu klientów znajdujących się za tym samym routerem (maskaradą), wtedy pojawia się problem, ponieważ protokół ten nie wykorzystuje portów, tak jak to ma miejsce w przypadku protokołów TCP i UDP, dlatego nie można w prosty sposób odróżnić połączeń IPSec inicjowanych z różnych hostów wewnątrz sieci. Rozwiązaniem problemu jest tzw.