IPSec工作在网络层，一般用于两个子网之间的通信。 IPSec主要分为两个环节，主要信息可在我的思维导图中看到，十分清晰。

第一环节使用IKE（Internet Key Exchange）完成身份鉴别、建立通信、确定安全策略和密钥 第二环节使用IPSec安全策略和密钥对数据进行保护。

主要是为了解耦，由于SA是有超时时间的，如果只有一层SA，每次协商（更新）都会产生大量的协商消息，耗费资源，降低了网络的利用率。而如果采用两阶段协商，只需要在网关间协商出一个IKE SA，然后用这个SA来为应用数据流协商IPSec SA，那么每个IPSec SA更新时可以节省资源，提高效率。