En el modo túnel, todo el paquete IP (datos más cabeceras del mensaje) es cifrado o autenticado.