IPsec
SAが確立された後、ピアSとRは、以下の2つのうちいずれかのプロトコル用いて、通信を行う(原理的には、両方のプロトコルを適用することも可能である):
AH (Authentication Header) :IPパケットにメッセージ認証子(MAC)をつけるが暗号化は行わない。IPプロトコル番号 51。
ESP (Encapsulated Security Payload) :IPパケットに認証暗号を施す。IPプロトコル番号 50。
AHやESPの暗号処理に必要な共通鍵は、SAの確立の際に生成もしくは読み込んだものを用いる。
認証暗号は、平文の暗号化とメッセージ認証の両方を実行できる共通鍵暗号方式である。したがって、ESPを用いた場合、パケットの秘匿性と改竄検知の両方が担保される。一方、AHを用いた場合、改竄検知しか担保されない。
通信は、以下の2つのいずれかの動作モードに従って行う:
トランスポートモード:パケットデータ部のみを暗号処理を施す。
トンネルモード:ヘッダを含めたパケット全体を丸ごと「データ」として暗号処理を施し新たなIPヘッダを付加。
トランスポートモードは、主に2つのホスト間の通信で使われ、トンネルモードは、主にセキュリティ・ゲートウェイとセキュリティ・ゲートウェイ、およびセキュリティ・ゲートウェイとホストの間の通信で使われる。
Windows - Windows 2000 / XP は IPv4, IPv6 で利用可能であるが、IPv6はESP暗号化に対応していない。Windows VistaはIPv4、IPv6で利用可能である。
macOS - KAME由来のIPsecが利用可能。OS標準のGUIで利用出来るのはL2TP / IPsecのみである。
BSD - FreeBSD、NetBSDではKAMEで作られた実装が取り込まれており、OpenBSDでは独自に実装を行っている。
Linux - IPv4、IPv6で利用可能。IKEはKAME由来のipsec-toolsのracoonを利用する。他にFreeS/WANプロジェクトから派生したOpenswanとstrongSwanがある。