Um enlace físico dedicado, além da conexão com a Internet, deve ser estabelecido entre as redes que participarão da VPN. Os datagramas IP que devem trafegar pela VPN são criptografados e enviados por esse enlace dedicado, não trafegando pela Internet.

Um protocolo próprio da camada de transporte, que não é o TCP nem o UDP, é utilizado para encapsular datagramas IP que devem trafegar pela VPN de forma criptografada. A transmissão entre os elementos que participam da VPN ocorre via Internet.

Uma conexão TCP é estabelecida e mantida entre os elementos de rede que efetuarão o tunelamento. Os datagramas IP que devem trafegar pela VPN são criptografados e enviados por essa conexão TCP via Internet.

Os datagramas IP que devem trafegar pela VPN são criptografados e encapsulados em datagramas UDP transmitidos via Internet.