O IPsec pode ser usado em dois modos. No primeiro modo, o cabeçalho IPsec é inserido logo depois do cabeçalho IP. No segundo modo, todo o pacote IP, incluindo o cabeçalho, é encapsulado no corpo de um novo pacote IP, com um cabeçalho IP completamente novo. Os dois modos do IPsec são, respectivamente: