EIGRP в Ideco NGFW Novum 22: интеграция без жертв

Большая часть крупных российских корпоративных сетей построена на оборудовании Cisco. Миграция болезненная, дорогая и занимает месяцы. Ideco NGFW Novum 22 снимает эту проблему: теперь вы можете встроить российский NGFW в действующую Cisco-инфраструктуру, не меняя протокол динамической маршрутизации с EIGRP на OSPF.

Проблема, которую никто не хочет решать вручную

Представьте стандартную картину: у вас от 20 филиалов и более, маршрутизация работает на EIGRP, который поддерживается в Cisco IOS уже больше тридцати лет. Сеть живёт. Роутеры знают друг друга. Таблицы маршрутизации обновляются автоматически.

И вот вам нужно заменить иностранный NGFW на периметре. Вы смотрите на доступные российские решения — и упираетесь в стену: ни один из них не поддерживает EIGRP.
Выбор в этом случае невелик:

Вариант А. Мигрировать всю инфраструктуру с EIGRP на OSPF или BGP. Это месяцы работы, риск деградации сети, переобучение команды — и никакой гарантии, что в процессе ничего не упадёт.

Вариант Б. Поставить NGFW «в разрыв» и прокладывать статические маршруты руками. Это работает ровно до момента, пока что-то не изменится в топологии. Тогда ваш администратор в 2 часа ночи занимается обновлением статических таблиц.

Вариант В. Использовать NGFW, в котором функциональность уже реализована.

В Ideco NGFW Novum версии 22 вариант В стал реальным.

Что такое EIGRP и почему он до сих пор жив

EIGRP (Enhanced Interior Gateway Routing Protocol) — протокол динамической маршрутизации, изначально разработанный Cisco. В 2013 году Cisco открыла для сторонних вендоров ограниченную версию протокола, а в мае 2016 года был опубликован информационный RFC 7868 (Independent Submission, не стандарт IETF). Это дало возможность другим вендорам реализовывать совместимость с EIGRP — и именно это сделали Ideco.

Важно отметить: часть возможностей Cisco в открытую спецификацию не включила, а исторически чистая межвендорная совместимость по EIGRP давалась тяжело. Именно поэтому нативная реализация, которая устанавливает соседство с Cisco IOS и участвует в пересчёте топологии, а не просто «пропускает пакеты» — это содержательный результат, а не галочка в списке протоколов.

Почему EIGRP до сих пор доминирует в унаследованных инфраструктурах? Есть несколько причин:

Быстрая сходимость. Алгоритм DUAL (Diffusing Update Algorithm) держит наготове резервные маршруты — Feasible Successors, которые активируются практически мгновенно при отказе основного пути: резервный маршрут уже лежит в таблице топологии, пересчёт не требуется, переключение обычно занимает доли секунды.

Балансировка нагрузки по каналам с разной стоимостью. EIGRP — один из немногих протоколов, поддерживающих unequal-cost load balancing через механизм variance.

Точечные обновления вместо периодического флуда. В отличие от OSPF, EIGRP не рассылает периодически полную топологию по всей зоне — он отправляет инкрементальные изменения только затронутым соседям. Обратная сторона медали: когда у маршрута нет Feasible Successor, EIGRP уходит в состояние ACTIVE и рассылает запросы (QUERY), которые могут расходиться широко по сети (проблема Stuck In Active). На корректно спроектированной сети с суммаризацией это не создаёт проблем, но полностью «бесшумным» протокол называть не стоит.

Именно поэтому сети на EIGRP не спешат мигрировать: протокол работает, надёжен и хорошо изучен командой.

Что умеет EIGRP в Ideco NGFW Novum 22

В Ideco NGFW Novum версии 22 добавлен EIGRP-стек, включающий:

• Настройку EIGRP-процесса с указанием номера автономной системы;

• Управление соседями (добавление, удаление, просмотр состояния);

• Настройки редистрибуции и фильтрации маршрутов;

• Цепочки ключей (key chains) для аутентификации сессий.

Это не «транзит EIGRP-пакетов» через файрвол, а именно участие NGFW в EIGRP-домене как полноправного участника: установление соседства, получение и анонс маршрутов, участие в пересчёте топологии.

Что стоит проверить перед внедрением

EIGRP — тот случай, где «поддержка есть» и «поддержка закрывает мой сценарий» не одно и то же, поэтому на пилоте имеет смысл проверить глубину совместимости именно на вашей топологии:

• Устанавливается ли соседство со всеми вашими версиями Cisco IOS / IOS XE;

• Совпадают ли метрики;

• Корректно ли работает редистрибуция и фильтрация на стыке с OSPF/BGP, если они у вас есть;

• Совместимость key chain с настройками на Cisco;

• Поведение при отказах: скорость сходимости и отсутствие маршрутных петель на границе.

Это стандартная практика при вводе любого не-Cisco устройства в EIGRP-домен.

Конкуренты и EIGRP: честный взгляд

Посмотрим, как обстоят дела у других вендоров*. Данные собраны на основании открытых источников и отражают то, что вендоры заявляют публично.

Вывод: среди российских NGFW Ideco на момент публикации — единственный, кто публично заявляет поддержку EIGRP.

*Данные собраны на основании открытых источников; отсутствие публичного заявления не всегда означает отсутствие функции в roadmap вендора.

Что это значит для администратора

Главная ценность — это не «ещё один протокол в списке». Это устранение самого болезненного барьера при импортозамещении NGFW в организациях с Cisco-инфраструктурой.

Без нативного EIGRP администратор оставался перед выбором: потратить месяцы на переработку маршрутизации, держать иностранный NGFW или прибегать к другим workaround. С появлением EIGRP в Ideco NGFW Novum 22 появляется прямой путь без этих компромиссов.

Итог

Российские организации накопили огромный парк Cisco-оборудования с работающей EIGRP-инфраструктурой. До сих пор ни один российский NGFW не умел в неё интегрироваться нативно. Ideco NGFW Novum 22 закрывает это требование — и делает это в рамках базовой лицензии, без дополнительных подписок.

Это конкретный ответ на конкретную боль конкретного заказчика, которому нужно импортозаместить NGFW, не сломав сеть. Остаётся подобрать схему интеграции под вашу конкретную сеть и провести пилот с последующим внедрением.

Получить консультацию от Ideco