当ESP处于（ ）情况下，ESP头放在新建外部IP头之后，原IP数据报文之前，为整个原IP报文提供机密性保护，为新建外部IP头后的内容提供认证保护。