Entwickelt und verwaltet wird dieser VPN-Standard von der IETF- Internet Engineering Task Force. Mit IPSec steht ein allgemein verbindlicher, herstellerübergreifender Standard zur Verfügung, der den Datenaustausch zwischen unterschiedlichen Security Gateways im Rahmen einer VPN-Lösung regelt. Die zu verwendeten Protokolle im Rahmen des IPSec-Standards müssen folgende Aufgaben bewerkstelligen:

Um diese Forderungen zu erfüllen, verwendet man das AH- (Authentication Header), ESP- ( Encapsulating Security Payload) und das IKE (Internet Key Exchange) Protokoll.

Bevor diese Protokolle näher betrachtet werden, sollen die zwei Modi vorgestellt werden, welche IPSec benützt. Je nachdem, ob man intern im lokalen Netzwerk kommuniziert oder extern über ein öffentliches Netz, hat man die Wahl zwischen Transportmodus und Tunnelmodus.

Dieser Modus wird mehrheitlich innerhalb eines sicheren internen Netzes verwendet. Aus diesem Grund ist der angewendete Sicherheitsgrad geringer als im Tunnelmodus. Das ursprüngliche Datenpaket wird nur in soweit verändert, wie es nötig ist, um die Protokolle AH und ESP anzuwenden. Das bedeutet, dass der ursprüngliche IP-Header erhalten bleibt und je nach dem, ob AH oder ESP angewendet wird, sind die Daten entweder nur authentisiert oder authentisiert und verschlüsselt.
Das positive dieses Modus ist das Sparen von Rechenzeit, weil die Datenpakete weniger Rechenintensiv bearbeitet werden müssen. Dies kann zum Beispiel für Echtzeit-Anwendungen, wie Telefonieren über das Internet, von Bedeutung sein.

Dieser Modus wird für Verbindungen verwendet, welche über ein öffentliches Netz , wie das Internet geht. Der Tunnelmodus in Verbindung mit dem ESP ist dafür das geeignetste Mittel. Die ursprüngliche Anwendung von Tunneling ist ein lokales Netz, welches zum Beispiel die Protokolle NetBIOS (IBM) und IPX (Novell) verwendet, um über ein TCP/IP-Netz zu übertragen. Dies wird erreicht, indem das originale Datenpaket in einen IP-Datenpaket ‘eingepackt’ über das TCP/IP-Netz übertragen wird. Somit beinhaltet das neue Datenpaket das urspüngliche Datenpaket als seine Nutzdaten.
Mit dem Ziel einen grösseren Sicherheitsgrad zu erreichen, wird diese Technik in IPSec angewendet, denn durch das ‘Einpacken’ und zusätzlichem Verschlüsseln mittels ESP wird das gesamte ursprüngliche Datenpaket verhüllt. Somit bleibt im Tunnelmodus die Identität der Source- und Destination-Adresse im Verborgenen, oder anders gesagt, die Identität der Kommunikationspartner bleibt anonym. Das ist ein Vorteil gegenüber dem Transportmodus.
Bezogen auf unser Modell sieht es folgendermassen aus:

Ein weiteres Plus von Tunneling ist die Benützung von privaten IP-Adressen. In der Regel ist das lokale Netz mit privaten IP-Adressen aufgebaut. Wie man in der Skizze sieht, wird der IP-Header_ Client (Bsp. 10.0.1.2) in den Nutzdaten des neuen Datenpakets versteckt, welcher einen IP-Header_SG hat, der routingfähig und somit eine registrierte IP-Adresse (Bsp. 160.85.131.60) hat. Somit kann man also mit nicht routingfähigen Adressen, Datenpakete durch ein öffentliches TCP/IP-Netz senden.
Nachdem nun die zwei Modi erklärt worden sind, gehen wir nun auf die IPSec Protokolle AH, ESP und IKE näher ein.