37:SAには識別のためSPIという値が割り振られている。これはセキュリティプロトコル別である。よって、通信の一端から見るとプロトコルとSPIの組によってSAが区別できる(送信元IPアドレスが必要、あるいは逆に宛先IPアドレスが必要、という情報もあるが)。SAには識別のためSPIという値が割り振られている。これは実装によってはセキュリティプロトコルによって別の空間を持っていることもある。よって、通信の一端から見るとプロトコルとSPIの組によってSAが区別できる(送信元IPアドレスが必要、あるいは逆に宛先IPアドレスが必要、という情報もあるが)。Policy)とよぶ。SPでSAを直接指定するわけではない(実装によるのではないかと思うが)。Policy)とよぶ。SPでSAを直接指定するわけではない。SPやSAにパケットが一致するかどうかを判定するための属性の集合をセレクタと呼ぶ。受信したパケットのSADに対する照合はSPIを用いて行われるのでセレクタは使用されない。セレクタはリモートIPアドレス・ローカルIPアドレス・上位層プロトコル・名前からなる。上位層プロトコルとはTCPやICMPなどペイロードのプロトコルであり、そのプロトコルに応じた追加情報が指定できることがある。TCPであればリモートポートとローカルポートが指定できる。名前の例えばFQDNやX.500識別名などであるが、相手がその名前を持つことの確認方法は実装に任されている。基礎知識IPsecはIPレベルで暗号化を扱うためのプロトコル(の総体)である。IPsecのセキュリティプロトコルとして、ペイロードの暗号化・認証のためのESPと、ヘッダも含めた認証のためのAHがある。これらの他に鍵交換のためのIKEがあるがこれは後述する。