(ただし機器のレベルでのみ。ユーザー認証といったたぐいではない。)動作モードトンネルモードとトランスポートモードがある。トンネルモード元のパケット全体を暗号化したモノに、新たなIPヘッダを付けて転送する。VPN装置を介すような場合向け。トランスポートモード元パケットのIPヘッダはそのままに、データ部分だけ暗号化し転送する。VPN装置を介さないEndToEndでのIPSec通信向け。プロトコル次の3つのプロトコルが中核をなす。Exchange)安全な鍵交換プロトコル。Header)メッセージ認証のみ(暗号化が使えない国向け)IKEIKEの通信で使う鍵交換IPSecで使う鍵交換の2層で鍵交換を行う。IKEの通信で使う鍵交換。UDP/500を使う。1-1.暗号化アルゴリズムのネゴシエーション1-2.Diffie-Hellman鍵交換方式による共通鍵の生成。秘密鍵そのものではなく、乱数と秘密鍵から生成した公開情報を送受信。通信内容を第三者に盗聴されても、直ちに秘密鍵を知られることはなく、安全に鍵情報を交換することができる。1-2-1.両者が秘密鍵を生成1-2-2.秘密鍵より一定の関数で生成した公開情報を送付。1-2-3.送付された関数を一定の関数で演算→両者で同じ値となる。これを暗号用の共通鍵として用いる。アルゴリズムの決定、暗号鍵の交換などIPSecによる通信に必要な各種情報がやり取りされる。Association)」のネゴシエーション)ESP暗号化とメッセージ認証機能を提供するプロトコル。パケットを以下の通り変換してやりとりする。Code)メッセージ認証で使う認証情報シーケンス番号パケットのシーケンス番号。リプレイアタックの防止に使う。暗号化されたデータその名の通り。トンネルモードではIPヘッダも含むが、トランスポートモードではTCPヘッダから先のみ。MACでの非改ざんサポートが可能な範囲もこの部分である。(暗号化のサポート範囲もおなじ。(トランスポートモードの場合)パケットに追加されるAHメッセージ認証機能を提供するプロトコル。暗号化機能は持たない。メッセージ認証の範囲がESPと異なり、AHではAH自体を含むパケットすべてが認証対象。(ESPのトランスポートモードではIPヘッダは認証範囲に含まれない)弱点と対策NAT/NAPTESPでは、NATはいけるがNAPTは無理(ポートがTCP/UDPヘッダで認証対象であるため。