IPSec提供了访问控制、无连接完整性、数据源鉴别、载荷机密性和有限流量机密等安全服务。弥补了由于TCP/IP协议体系自身带来的安全漏洞。
IPSec机制中，ESP封装尤为重要。ESP有两种工作模式：传输模式（Transport Mode）和隧道模式（Tunneling Mode）。
1．传输模式
传输? 的工作原理是在IP包的包头与数据报之间插入一个ESP头，并将数据报进行加密，然后在 Internet网上传输。这种模式的特点是保留了原IP头信息，即信源/宿地址不变，所有安全相关信息包括在ESP头中。传输双方依此进行安全封装传输和折封还原。ESP传输模式适用于主机与主机的安全通信。显然这种安全方式可将通信两端由源到宿的基于虚拟连接的传输信息进行加密。
2．隧道模式
ESP隧道模式的工作原理是先将IP数据包整个进行加密后再加上ESP头和新的IP头，这个新的IP头中包含有隧道源/宿的地址。当通过ESP隧道的数据包到达目的网关（即隧道的另一端）后，利用 ESP头中的安全相关信息对加密过的原IP包进行安全相关处理，将已还原的高层数据按原IP头标明的IP地址递交，以完成信源——信宿之间的安全传输。显然，这种安全相关对于源/宿地址来说应是双向的。ESP隧道模式可用于下列情况的安全服务：
1)用于网关与网关之间保护内部网络。通过配置，一个网关可与多个网关建立IPSec的安全互联，从而实现具有相同安全策略的VPN。这种借助于安全关联的可配置保护模式，可以使得内部一些主机通过网关——网关的IPSec隧道，另一些主机虽通过网关——网关进行Internet通信，但并不经过IPSec隧道。这种VPN就有了应用的灵活性。
2)用于网关与主机或主机与网关之间的安全保护，IPSec隧道建在网关与主机之间。其中通过配有 IPSec模块的安全网关保护一个内部网络，而另一侧保护的是一台主机。
利用本节的IPSec保护模式形成的VPN能有效地防范来自外部网络对信源/宿子网的攻击，例如IP欺骗、会话截取，包嗅探，中间攻击和拒绝服务型攻击等。
