A figura a seguir ilustra genericamente um datagrama IP carregando um segmento TCP.

Quando esse datagrama é enviado pelo protocolo ESP no modo túnel, no contexto do IPSec, a parte do datagrama apresentado que é encriptada é composta exclusivamente pela(as) seção(ões)