IPsecは、拠点間や機器間に暗号化トンネルを張って、途中の経路で読まれない・改ざんされないようにする仕組みです。ポイントは2段構え。まずIKEで「お互い本物か」を確認して共通鍵を安全に決め、次にESPがその鍵で本データを暗号化して運びます。「鍵を決める工程」と「本通信の工程」が分かれているのが核です。
先に押さえる
暗号化には共通鍵が要りますが、その鍵を安全に共有すること自体が難所です。IPsecはそこをIKE（鍵交換）に任せ、相互認証（事前共有鍵や証明書）をしたうえで鍵を確立。本データはESPが暗号化・カプセル化して送ります。役割が「鍵決め＝IKE」「本通信＝ESP」で分かれている、と押さえます。
2段のトンネル確立
1IKE：相互認証して管理用の安全な路と鍵を作る
拠点Aの機器
↓相互認証（事前共有鍵／証明書）→ 共通鍵を確立
拠点Bの機器
2ESP：その鍵で本データを暗号化して運ぶ
拠点Aの端末
↓元のパケットごと暗号化して包む（カプセル化）
A機器 → B機器暗号化トンネル（ESP）経路上は中身が見えない
↓B側でほどいて元の宛先へ
拠点Bの端末
拠点間VPNではトンネルモードを使い、元のIPパケットまるごとを暗号化して新しいIPで包みます。だから途中の経路からは、中の本当の送信元・宛先も中身も見えません。
動きで見る
まずIKEで鍵を決めてから、本文を暗号化・カプセル化して公衆網を渡し、相手側で復号する2段の流れが見えます。（図は横スクロールできます）
見抜きどころ
核は「鍵を決めるIKE → 本通信を守るESP」の2段。設問では「なぜ2フェーズに分かれるか（＝鍵の安全な確立が先）」「相互認証の方法（事前共有鍵か証明書か）」「トンネルモードで何が隠れるか（＝元のIPごと）」が問われます。暗号化そのものより、鍵をどう安全に配ったかに目を向けると筋が通ります。
つまずきやすい
IKE（鍵決め）とESP（本通信）は別の工程で、混同しないこと。また、途中にNATがあるとIPsecは影響を受けやすく、越えるための工夫（NATトラバーサル）が要ります。「暗号は強いのに、鍵交換や経路の都合でつながらない」型の設問に注意。