Большая часть крупных российских корпоративных сетей построена на оборудовании Cisco. Миграция болезненная, дорогая и занимает месяцы. Ideco NGFW Novum 22 снимает эту проблему: теперь вы можете встроить российский NGFW в действующую Cisco-инфраструктуру, не меняя протокол динамической маршрутизации с EIGRP на OSPF.
Проблема, которую никто не хочет решать вручную
Представьте стандартную картину: у вас от 20 филиалов и более, маршрутизация работает на EIGRP, который поддерживается в Cisco IOS уже больше тридцати лет. Сеть живёт. Роутеры знают друг друга. Таблицы маршрутизации обновляются автоматически.
И вот вам нужно заменить иностранный NGFW на периметре. Вы смотрите на доступные российские решения — и упираетесь в стену: ни один из них не поддерживает EIGRP.
Выбор в этом случае невелик:
Вариант А. Мигрировать всю инфраструктуру с EIGRP на OSPF или BGP. Это месяцы работы, риск деградации сети, переобучение команды - и никакой гарантии, что в процессе ничего не упадёт.
Вариант Б. Поставить NGFW «в разрыв» и прокладывать статические маршруты руками. Это работает ровно до момента, пока что-то не изменится в топологии. Тогда ваш администратор в 2 часа ночи занимается обновлением статических таблиц.
Вариант В. Использовать NGFW, в котором функциональность уже реализована.
В Ideco NGFW Novum версии 22 вариант В стал реальным.
Что такое EIGRP и почему он до сих пор жив
EIGRP (Enhanced Interior Gateway Routing Protocol) — протокол динамической маршрутизации, изначально разработанный Cisco. В 2013 году Cisco открыла для сторонних вендоров ограниченную версию протокола, а в мае 2016 года был опубликован информационный RFC 7868 (Independent Submission, не стандарт IETF). Это дало возможность другим вендорам реализовывать совместимость с EIGRP — и именно это сделали Ideco.
Важно отметить: часть возможностей Cisco в открытую спецификацию не включила, а исторически чистая межвендорная совместимость по EIGRP давалась тяжело. Именно поэтому нативная реализация, которая устанавливает соседство с Cisco IOS и участвует в пересчёте топологии, а не просто «пропускает пакеты» — это содержательный результат, а не галочка в списке протоколов.
Почему EIGRP до сих пор доминирует в унаследованных инфраструктурах? Есть несколько причин:
Быстрая сходимость. Алгоритм DUAL (Diffusing Update Algorithm) держит наготове резервные маршруты — Feasible Successors, которые активируются практически мгновенно при отказе основного пути: резервный маршрут уже лежит в таблице топологии, пересчёт не требуется, переключение обычно занимает доли секунды.
Балансировка нагрузки по каналам с разной стоимостью. EIGRP — один из немногих протоколов, поддерживающих unequal-cost load balancing через механизм variance.
Точечные обновления вместо периодического флуда. В отличие от OSPF, EIGRP не рассылает периодически полную топологию по всей зоне — он отправляет инкрементальные изменения только затронутым соседям. Обратная сторона медали: когда у маршрута нет Feasible Successor, EIGRP уходит в состояние ACTIVE и рассылает запросы (QUERY), которые могут расходиться широко по сети (проблема Stuck In Active). На корректно спроектированной сети с суммаризацией это не создаёт проблем, но полностью «бесшумным» протокол называть не стоит.
Именно поэтому сети на EIGRP не спешат мигрировать: протокол работает, надёжен и хорошо изучен командой.
Что умеет EIGRP в Ideco NGFW Novum 22
В Ideco NGFW Novum версии 22 добавлен EIGRP-стек, включающий:
Настройку EIGRP-процесса с указанием номера автономной системы;
Управление соседями (добавление, удаление, просмотр состояния);
Настройки редистрибуции и фильтрации маршрутов;
Цепочки ключей (key chains) для аутентификации сессий.
Это не «транзит EIGRP-пакетов» через файрвол, а именно участие NGFW в EIGRP-домене как полноправного участника: установление соседства, получение и анонс маршрутов, участие в пересчёте топологии.
Что стоит проверить перед внедрением
EIGRP — тот случай, где «поддержка есть» и «поддержка закрывает мой сценарий» не одно и то же, поэтому на пилоте имеет смысл проверить глубину совместимости именно на вашей топологии:
Устанавливается ли соседство со всеми вашими версиями Cisco IOS / IOS XE;
Совпадают ли метрики;
Корректно ли работает редистрибуция и фильтрация на стыке с OSPF/BGP, если они у вас есть;
Совместимость key chain с настройками на Cisco;
Поведение при отказах: скорость сходимости и отсутствие маршрутных петель на границе.
Это стандартная практика при вводе любого не-Cisco устройства в EIGRP-домен.
Конкуренты и EIGRP: честный взгляд
Посмотрим, как обстоят дела у других вендоров*. Данные собраны на основании открытых источников и отражают то, что вендоры заявляют публично.
Вендор | EIGRP |
|---|---|
Ideco NGFW Novum 22 | ✅ Есть |
UserGate NGFW | Публично не заявлено |
PT NGFW | Публично не заявлено |
Континент | Публично не заявлено |
Kaspersky NGFW | Публично не заявлено |
Вывод: среди российских NGFW Ideco на момент публикации — единственный, кто публично заявляет поддержку EIGRP.
*Данные собраны на основании открытых источников; отсутствие публичного заявления не всегда означает отсутствие функции в roadmap вендора.
Что это значит для администратора
Главная ценность — это не «ещё один протокол в списке». Это устранение самого болезненного барьера при импортозамещении NGFW в организациях с Cisco-инфраструктурой.
Без нативного EIGRP администратор оставался перед выбором: потратить месяцы на переработку маршрутизации, держать иностранный NGFW или прибегать к другим workaround. С появлением EIGRP в Ideco NGFW Novum 22 появляется прямой путь без этих компромиссов.
Итог
Российские организации накопили огромный парк Cisco-оборудования с работающей EIGRP-инфраструктурой. До сих пор ни один российский NGFW не умел в неё интегрироваться нативно. Ideco NGFW Novum 22 закрывает это требование — и делает это в рамках базовой лицензии, без дополнительных подписок.
Это конкретный ответ на конкретную боль конкретного заказчика, которому нужно импортозаместить NGFW, не сломав сеть. Остаётся подобрать схему интеграции под вашу конкретную сеть и провести пилот с последующим внедрением.
