Encapsulated Security Payload (ESP)

• ESP (IP-Protokoll 50) verschlüsselt im Gegensatz zu AH die Pakete.
• Das gesamte IP-Paket inklusive Header wird verschlüsselt und in ein neues Paket verpackt (encapsulated).
• Zusätzlich wird wie bei AH die Integrität durch einen HMAC sichergestellt.
• Dieser HMAC bezieht sich jedoch nur auf das verschlüsselte Paket, was NAT ermöglicht.
• Nach außen ist nur die Kommunikation zwischen den VPN-Gateways sichtbar.
• Die Kommunikation der LAN-Clients und deren IP-Adressen bleiben verborgen.

Da ESP heutzutage die meisten AH-Features bietet, wird AH kaum noch verwendet.