Вопрос по ipsec

Есть две машины с NetBSD и Wi-Fi access point. Первая машина (flam)
подключена к access point (ap). Вторая машина (chup) по Wi-Fi беседует с ap.
Теперь я хочу настроить ipsec для flam и chup.
И я не могу врубиться какой режим здесь нужен -- tunnel или transport??

Например на flam ipsec.conf содержит:

add flam chup esp XXX -E blowfish-cbc 0xXXX -A hmac-sha1 0xXXX ;
add flam chup ah XXX -A hmac-sha2-512 0xXXX ;
add flam chup ipcomp XXX -C deflate -R ;

add chup flam esp XXX -E blowfish-cbc 0xXXX -A hmac-sha1 0xXXX ;
add chup flam ah XXX -A hmac-sha2-512 0xXXX ;
add chup flam ipcomp XXX -C deflate -R ;

spdadd 168.192.0.11 chup any -P out ipsec ipcomp/transport//use esp/transport//use ah/transport//use ;
spdadd chup 168.192.0.11 any -P in ipsec esp/transport//require ah/transport//require ;

Вопрос по строчкам с spdadd -- тут нужен transport или tunnel? И
соответственно, в них должен фигурировать только chup, или еще и ap?