◆隧道模式：增加新的IP头，通常用于私网与私网之间通过公网进行通信。
3. IPSec与NAT
3.1. AH模式
AH模式无法与NAT一起运行，因为AH对包括IP地址在内的整个IP包进行hash运算，而NAT会改变IP地址，从而破坏AH的hash值。
3.2. ESP模式
◆只进行地址映射时，ESP可与NAT一起工作。
◆进行端口映射时，需要修改端口，而ESP已经对端口号进行了加密和/或hash，所以将无法进行。
◆启用IPSec NAT穿越后，会在ESP头前增加一个UDP头，就可以进行端口映射。
4. IPSec 安全通道协商过程
◆需要保护的流量流经路由器，触发路由器启动相关的协商过程。
◆启动IKE (Internet key exchange,密钥管理协议)阶段1，对通信双方进行身份认证，并在两端之间建立一条安全的通道。
◆启动IKE阶段2，在上述安全通道上协商IPSec参数。 ◆按协商好的IPSec参数对数据流进行加密、hash等保护。
4.1. IKE密钥交换协议
Internet密钥交换（IKE）解决了在不安全的网络环境（如Internet）中安全地建立或更新共享密钥的问题。IKE是非常通用的协议，不仅可为IPsec协商安全关联，而且可以为SNMPv3、RIPv2、OSPFv2等任何要求保密的协议协商安全参数。 一、IKE的作用当应用环境的规模较小时，可以用手工配置SA；当应用环境规模较大、参与的节点位置不固定时， IKE可自动地为参与通信的实体协商SA，并对安全关联库（SAD）维护，保障通信安全。 二、IKE的机制IKE属于一种混合型协议，由Internet安全关联和密钥管理协议（ISAKMP）和两种密钥交换协议OAKLEY与SKEME组成。IKE创建在由ISAKMP定义的框架上，沿用了OAKLEY的密钥交换模式以及SKEME的共享和密钥更新技术，还定义了它自己的两种密钥交换方式。 IKE使用了两个阶段的ISAKMP： 第一阶段，协商创建一个通信信道（IKE SA），并对该信道进行验证，为双方进一步的IKE通信提供机密性、消息完整性以及消息源验证服务； 第二阶段，使用已建立的IKE SA建立IPsec SA。 IKE共定义了5种交换。阶段1有两种模式的交换：对身份进行保护的“主模式”交换以及根据基本ISAKMP 文档制订的“野蛮模式”交换。阶段2 交换使用“快速模式”交换。IKE 自己定义了两种交换：1为通信各方间协商一个新的Diffie-Hellman 组类型的“新组模式”交换；2在IKE 通信双方间传送错误及状态消息的ISAKMP信息交换。 1．主模式交换主模式交换提供了身份保护机制，经过三个步骤，共交换了六条消息。三个步骤分别是策略协商交换、Diffie-Hellman共享值、nonce交换以及身份验证交换（如图2所示）。
2．野蛮模式交换野蛮模式交换也分为三个步骤，但只交换三条消息：头两条消息协商策略，交换Diffie-Hellman公开值必需的辅助数据以及身份信息；第二条消息认证响应方；第三条消息认证发起方，并为发起方提供在场的证据（如图3所示）。
3．快速模式交换快速模式交换通过三条消息建立IPsec SA：头两条消息协商IPsec SA的各项参数值，并生成IPsec 使用的密钥；第二条消息还为响应方提供在场的证据；第三条消息为发起方提供在场的证据（如图4所示）。