IPSec隧道封装组播时，外层IP头的目标地址必须和内层IP头的一样，也就是说必须是组播地址，外层IP头的源地址一般情况下也必须和内层IP头的一样，因为要通过组播路由器的RPF检测。在GSAD中有相关参数标识是否需要源地址要一样。
组播认证时机
单播中IPSec是通过SPD触发IKE的注册过程，组播也一样，通过GSPD触发组播密钥管理协议的认证过程，IPSec设备通过检测特定的组播数据包、组播协议消息（IGMP）等向GCKS认证。SPD中的单播是双向的，即源IP目标IP可以互换从而完成IKE过程，但是组播地址不可能是源，所以GSPD中添加仅源、仅目标的选项，同时GSPD添加对于入栈组播ESP包可以继续路由到其他设备的选项。
组播数据转发
如果IPSec是网关设备，则他负责下面组成员的认证过程和转发组播数据包。
抗重放
IPSec只能对小规模的组实现抗重放，与单播的原理一样，但是对大规模任意源的组的抗重放则不适用，因为一个抗重放状态就是一个SA状态，如果组的数量上百万，对于每个接收方，可能就需要维护上百万个SA，这是不现实的。
10. 源认证
单播的源认证通过MAC密钥完成，组播中MAC密钥是组共享的，是作为组认证的密钥，无法认证到源，因此组播源认证一般通过数字签名算法和TESLA算法完成，不过这些算法都有可能引起DDoS攻击。
11. SPI冲突
组播IPSec过程可以说和单播IPSec过程是独立的，组播通过组播密钥管理协议完成，单播通过IKE完成，组播SPI通过GCKS产生，单播通过两端IKE协商产生，因此SPI可能会冲突，所以组播SPI的入栈查找必须有目标和源IP地址。
12. SA更新
IPSec单播中有SA更新过程，组播也有，通过组播密钥管理协议在认证时产生的更新SA完成，更新SA就是一个由GCKS到组成员的组播安全通道，他专门负责更新IPSec SA，也就是在更新SA的安全通道中下发新IPSec SA的参数，它本身可能不更新。同时组播更新可能受延迟的影响，为保证组成员同步更新，GSAD有专门的参数保证SA更新时的同步。
组播安全相对与单播安全可能更复杂，一个组播密钥管理协议复杂度就和单播IKE差不多，组播通信过程也更复杂，如组成员的加入离开时的安全问题，组内攻击者的问题等。深入了解的东西还有很多，上面只是简单进行了说明，欢迎批评指正。