Materi
VPN membuat terowongan (tunnel) terlindungi di atas jaringan yang tidak dipercaya: paket asli dibungkus di dalam paket lain, lalu dienkripsi dan dijaga keutuhannya. NIST SP 800-77r1 membedakan beberapa arsitektur IPsec. Gateway-ke-gateway menghubungkan dua jaringan, misalnya kantor pusat dan cabang, dan tidak terasa oleh pengguna. Akses jarak jauh menghubungkan satu perangkat, misalnya laptop staf, ke gateway VPN kantor, dan penggunanya harus diautentikasi lebih dulu. Host-ke-host melindungi komunikasi dua host tertentu.
IPsec ESP punya dua mode. Mode tunnel membuat header IP baru berisi alamat kedua ujung terowongan, lalu mengenkripsi seluruh paket asli termasuk header IP-nya. Pengamat di internet hanya melihat alamat kedua gateway, bukan alamat, protokol, atau port asli. Mode transport memakai header IP asli dan hanya melindungi bagian di belakangnya; overhead-nya lebih kecil dan dipakai antarhost tanpa NAT. RFC 4301 mewajibkan mode tunnel bila salah satu ujung asosiasi keamanan (SA) adalah security gateway, kecuali untuk lalu lintas yang ditujukan ke gateway itu sendiri. SP 800-77r1 menambahkan bahwa mode tunnel juga wajib bila koneksi melewati NAT.
Paket asli : IP 10.20.1.15 -> 10.10.5.20 | TCP 445 | data berkas
Mode tunnel : IP 203.0.113.10 -> 198.51.100.20 | ESP | [terenkripsi: IP 10.20.1.15 -> 10.10.5.20 | TCP 445 | data berkas]
Mode transport : IP 10.20.1.15 -> 10.10.5.20 | ESP | [terenkripsi: TCP 445 | data berkas]
