No IPsec, qual a diferença entre modo túnel e modo transporte; quais as funções de AH e ESP; e como funciona uma associação de segurança?

Resposta:
Modo túnel: encapsula e protege todo o datagrama IP; Modo transporte: protege apenas o payload, preservando o cabeçalho.
AH: autenticação de origem e integridade, sem confidencialidade.
ESP: fornece confidencialidade (criptografia) e pode prover integridade/autenticação.
SA: conexão lógica unidirecional; comunicação bidirecional exige duas SAs.

Explicação:
Modo túnel protege o pacote IP inteiro; modo transporte protege só os dados.
AH garante origem e integridade, mas não cifra os dados.
ESP cifra os dados para sigilo e, opcionalmente, assegura integridade/autenticação.
SA define parâmetros e chaves para um sentido; ambos os sentidos exigem SAs separadas.