1、发送端

发送端接收到主机的明文信息，首先进行路由表的查询，然后确定该报文的从哪个区域发送来，要到从哪个区域走，总之就是确定报文的流向，然后进行安全策略的匹配查询，如果没有匹配到，那么该报文将会被丢弃，如果匹配到，而且还对应着IPsec的感兴趣流，那么防火墙就会对报文进行隧道封装，封装完成后，重新进行路由表的查询，然后再次进行安全策略的匹配，然后看一下该数据包是否能够发送，如果可以就直接发送了。不行就将该数据包拦截。

2、接收端

接收端接收到该信息，第一步查询路由表，然后查询对应的安全策略，观察经过隧道封装后的数据报文是否能够被安全策略匹配，是否能够被接收，如果匹配那么防火墙就对该报文进行隧道的解封，然后将加密数据进行还原，于是就得到了发送端的明文信息，然后防火墙再进行路由表的匹配，然后再进行安全策略的查询匹配，如果匹配上了就进行相应的路由转发，如果没有就丢弃。