يمكن أن يقوم أمان بروتوكول إنترنت (IPsec) بإجراء الطبقة الثالثة من الاتصال النفقي للسيناريوهات التي يتعذر فيها استخدام بروتوكول Layer Two Tunneling Protocol (L2TP). في حالة استخدام L2TP للاتصالات عن بُعد، فليس هناك أي تكوين للنفق مطلوب وذلك لأن مكونات الشبكة الخاصة الظاهرية (VPN) للعميل والخادم الخاصة بـ Windows تقوم بإنشاء القواعد المناسبة لتأمين نقل بيانات بروتوكول L2TP تلقائياً.
لإنشاء نفق من الطبقة الثالثة باستخدام IPSec، استخدم الأدوات الإضافية لنُهج أمان IP أو لنُهُج المجموعة، وذلك لتكوين القاعدتين التاليتين للنهج وتمكينهما:
- قاعدة لمعدل نقل البيانات الصادرة من النفق. يتم تكوين قاعدة معدل نقل البيانات الصادرة باستخدام كل من قائمة عوامل تصفية تصف نقل البيانات التي سيتم إرسالها عبر النفق ونقطة نهاية بالنفق خاصة بعنوان IP يتم تكوينها على نظير نفق (IPSec) (جهاز الكمبيوتر أو جهاز توجيه على الجانب الآخر من النفق).
- قاعدة لنقل البيانات الواردة للنفق. يتم تكوين قاعدة نقل البيانات الواردة إلى النفق للداخل باستخدام كل من قائمة عوامل تصفية تصف نقل البيانات المستلمة عبر النفق ونقطة نهاية بالنفق خاصة بعنوان IP محلي (جهاز الكمبيوتر أو جهاز التوجيه على هذا الجانب من النفق).
 | ملاحظة |
يجب إنشاء قاعدتي نقل البيانات الواردة والصادرة لكل اتصال نفقي. في حالة إنشاء عامل تصفية لاتجاه واحد فقط، فلن يتم تطبيق القاعدة. |
عند إنشاء نهج لكمبيوتر يستخدم Windows Vista أو إصدار أحدث من Windows، يمكنك تحديد إما عنوان IPv4 أو عنوان IPv6. يجب تحديد نقطة نهاية لكل من جانبي النفق ، كما يجب أن يكون إصدار بروتوكول العنوان واحداً بالنسبة لكلا الجانبين. بعبارة أخرى، في حالة تحديد عنوان IPv6 للجانب المصدر من النفق، فحينئذ يجب استخدام عنوان IPv6 أيضاً للجانب البعيد من النفق.
ولكل قاعدة، يجب أيضاً تحديد إجراءات عامل التصفية وأساليب المصادقة والإعدادات الأخرى.