Quando dois hosts precisam enviar datagramas seguros entre si, são necessárias duas associações seguras (SA), uma em cada direção.

OO protocolo Encapsulating Security Payload (ESP) provê autenticação dos dados, mas não provê o sigilo dos dados.

O Security Association (SA) é um campo do datagrama IPSec destinado a registrar o endereço da associação de dois nós.

O protocolo Authentication Header (AH) provê o sigilo dos dados transmitidos entre dois host quando utilizam o protocolo IPSec.

Uma conexão lógica entre dois hosts depende do nível de segurança que foi estipulado para a conexão (Security Parameter Index ? SPI), que pode ser do tipo AH ou ESP.