AH Tunnel Mode

Beim AH Tunnel Mode wird ein neuer IP-Header generiert, wobei sich in der Regel die Herkunft- und die Zieladresse im IP-Header von dem Original IP-Header unterscheidet. Auf den neuen IP-Header folgt der AH-Header und dann das original Datagramm (IP-Header mit Nutzdaten). Dabei können am neuen IP-Header, am AH-Header sowie am original IP-Header und den Nutzdaten Änderungen festgestellt werden. Auch hier sind alle Informationen in Klartext!

  

Abbildung: AH-Tunnel-Modus

Bemerkung:
AH kann alleine, in Kombination mit ESP (wird nachfolgend vorgestellt), oder verschachtelt eingesetzt werden. Durch diese Kombinationsmöglichkeiten kann z.B. eine Authentifikation zwischen zwei Hosts, zwischen zwei Firewalls bzw. einer Firewall und einem Host realisiert werden.