o protocolo ESP, no modo túnel, não encripta o datagrama IP inteiro, e nem os cabeçalhos TCP e UDP dentro de seu payload. Apenas o payload da camada de transporte é encriptado.

oferece proteção exclusivamente ao payload do datagrama IP original a ser tunelado, ou seja, aos cabeçalhos e payloads dos protocolos de camada superior ao IP. O cabeçalho do datagrama IP original, quando tunelado, não é encriptado.

um datagrama IP inteiro a ser tunelado, mais os campos de segurança do ESP, são tratados como o payload de um novo pacote IP externo, o qual por sua vez apresenta um novo cabeçalho. Ocorre encriptação de todo o datagrama original.

o cabeçalho do protocolo ESP é adicionado entre os cabeçalhos do protocolo IP e do protocolo TCP do datagrama original, sem nenhum outro cabeçalho entre eles.

está disponível apenas para o IPv6, não estando disponível para o IPv4.