(пакет шифруется или аутентифицируется, или и то и другое сразу) и пакет помещается между (т.е. инкапсулируется) заголовками и трейлерами протокола IPsec. Затем в пакет вставляется новый IP-заголовок, указывающий конечные точки IPsec (одноранговые узлы), как источник и назначение. Туннельный режим можно использовать с любым одноадресным трафиком. Этот режим должен использоваться, если IPsec защищает трафик от узлов, находящихся позади узлов IPsec. Например, туннельный режим используется в частных виртуальных сетях (VPN), где узлы одной защищенной сети отправляют пакеты узлам другой защищенной сети, используя для этого пару одноранговых узлов IPsec.
В сетях VPN туннель IPsec защищает IP- трафик, передаваемый между узлами, с помощью шифрования этого трафика между одноранговыми маршрутизаторами IPsec. При работе в транспортном режиме (настраивается с помощью подкоманды mode transport в определении преобразования) защита обеспечивается только для полезных данных исходного IP-пакета (пакет зашифровывается, или аутентифицируется, или и то, и другое). Полезная нагрузка размещается (инкапсулируется) между заголовками и трейлерами IPsec. При этом исходные IP- заголовки не затрагиваются. Исключение составляет поле протокола IP, которое изменяется на ESP (50).
Значение исходного протокола сохраняется в трейлере IPsec и восстанавливается при дешифровке пакета. Транспортный режим используется только в том случае, когда защищаемый IP-трафик передается между самими узлами IPsec, а IP-адреса источника и назначения совпадают с адресами узлов IPsec. Обычно транспортный режим IPsec используется совместно с туннельным протоколом (например, GRE), т.е. сначала инкапсулируется IP-пакет с данными, а затем для защиты туннельных пакетов GRE используется IPsec. IPsec всегда применяет PMTUD к пакетам данных, а также к своим собственным пакетам. Для изменения процесса обработки IP-пакета IPsec с помощью PMTUD в IPSec предусмотрены команды конфигурирования.
IPsec может сбрасывать, устанавливать или копировать бит DF из IP-заголовка пакета данных в IP-заголовок IPsec. Это называется функцией замещения бита DF (DF Bit Override Functionality). Примечание: Во время аппаратного шифрования с использованием IPsec желательно избежать фрагментации после того, как была проведена инкапсуляция. В зависимости от аппаратных средств аппаратное шифрование позволяет обеспечить пропускную способность около 50 Мбит/с. Однако при фрагментировании пакета IPsec вы можете потерять от 50 до 90% пропускной способности.
Такая потеря происходит потому, что фрагментированные пакеты IPsec проходят процессную коммутацию для повторной сборки, а затем передаются модулю аппаратного шифрования для дешифровки. При аппаратном шифровании пропускная способность может уменьшиться до уровня производительности, который обеспечивается шифрованием, использующим программные средства (2-10 Мбит/с). Сценарий 7 В данном сценарии описывается процесс фрагментации IPsec. Для данного сценария величина MTU на протяжении всего пути равна 1500 байт, а бит DF сброшен. Маршрутизатор получает 1500-байтовый пакет (20-байтовый IP-заголовок + 1480 байт полезной нагрузки TCP), предназначенный для узла 2. 1. 2.
Пакет размером 1500 байт шифруется протоколом IPsec, во время чего добавляется 52 байт служебных данных (заголовок IPsec, трейлер и дополнительный IP-заголовок). Теперь протоколу IPsec предстоит отправить пакет размером 1552 байта. Поскольку исходящий MTU равен 1500 байтам, этот пакет должен быть фрагментирован. Из пакета IPSec создаются два фрагмента. В ходе фрагментации ко второму фрагменту добавляется 20-байтный заголовок IP. 3.