试题二（共25分）

阅读以下说明，回答问题1至问题5，将解答填入答题纸对应的解答栏内。

某集团公司在全国各省均有分公司，由于公司的信息化系统需要升级改造，现管理员决定在总部与分公司之间通过IPSEC VPN建立连接。根据拓扑图1-1，完成下列问题。

[问题3] [5分]

在采用IKE动态协商方式建立IPSec隧道时，SA有两种：分别是IKE SA和IPSec SA，简述这两种SA的区别。