Bei der Gateway-Verschlüsselung werden die in den beteiligten Subnetzen unverschlüsselt bis zu ihrer Kopfstelle übertragen und dort für die Übertragung im unsicheren, öffentlichen Netz verschlüsselt. Der Gateway ist die einzige Verbindungsstelle zwischen dem Sub- und dem öffentlichen Netz. Hier sind auch die Komponenten für die Firewall und die Webserver eingerichtet, auf die vom öffentlichen Netz aus zugegriffen werden darf ( professionelles Firmennetz).
 

 
Diese Methode ist für die beteiligten Anwender komfortabel, weil sie sich um die Verschlüsselung nicht kümmern müssen. Sie ist auch für den Betreiber des Subnetzes vorteilhaft, weil er die durchlaufenden Daten mit Virenscannern und anderen Sicherheitseinrichtungen auf schädliche Bestandteile untersuchen kann. Das ist ihm verwehrt, wenn der Datenstrom im Subnetz so verschlüsselt übermittelt wird, dass die Nutzdaten auch vor dem Betreiber verborgen werden.

Das hindert den Betreiber des Subnetzes jedoch nicht daran, die Datenströme im Subnetz seinerseits zu verschlüsseln.

weitere Einzelheiten: Overlay-Netze und VPN
 

 
Die Ende-zu-Ende-Verschlüsselung (auch: Peer-to-Peer, P2P) erfolgt ausschließlich zwischen den beiden beteiligten Endgeräten. Ihre Kommunikation ist auch für die beteiligten Subnetze unsichtbar.

Diese Methode ist für die beiden Kommunikationspartner die sicherste, weil sie auf der Wegstrecke nicht überwacht werden kann.

Für die Betreiber der Subnetze birgt sie jedoch die Gefahr, dass sie Malware und andere Angriffsversuche kaum erkennen können und die Sicherheitskomponenten des Subnetzes ( DMZ, Firewall) unterlaufen werden können.
 

 
Das P2P-Konzept wird zum Beispiel auch im Zusammenhang mit der Internettelefonie von Skype eingesetzt ( Formen der Quellen-Überwachung).

weitere Einzelheiten: Overlay-Netze und VPN
 

 
Die Tunnelung stellt einen Kompromiss aus der Gateway- und P2P-Verschlüsselung dar, der aus der Sicht der Subnetzbetreiber die beste Lösung liefert. Dabei werden am Gateway nicht nur die Nutzdaten verschlüsselt, sondern die Datei insgesamt mit allen begleitenden Informationen über den Absender und den Empfänger. Die Datei wird dazu in einen Transportkörper gesteckt, der nur den sendenden und den empfangenen Gateway erkennen lässt. Die beteiligten Kommunikationspartner bleiben dabei im öffentlichen Netz unerkannt. Erst der Betreiber des empfangenen Subnetzes kann den Transportkörper entfernen und die Datei an das Endgerät im Subnetz senden.
 

 
weitere Einzelheiten: Overlay-Netze und VPN