Nuevos firewalls Sophos XGS 1U: comparativa 2026

El 4 de noviembre de 2026, Sophos presentó varias novedades: el appliance NDR 5500 para la supervisión de la red, el nuevo paquete de licencias Xstream Plus y, por último, nuevo hardware XGS con módulos de expansión Flexi Port.

Los Sophos XGS 2380, 3380, 4580 y 5580 aportan más rendimiento para necesidades mayores: más margen para inspeccionar conexiones cifradas, interfaces de red más rápidas y nuevas posibilidades de expansión. Es una incorporación positiva para empresas cuyas redes y tráfico están creciendo. En este artículo comparamos las características y el rendimiento con los modelos existentes y mostramos los precios de catálogo de los nuevos appliances y módulos Flexi Port.

El nuevo hardware XGS en comparación

XGS 2380 y 3380: chasis corto, una CPU

Los dos equipos más pequeños utilizan una CPU Intel x86 con núcleos reservados para Xstream FastPath. No incorporan un Xstream Flow Processor independiente. El chasis corto tiene 305 mm de profundidad y cabe también en racks donde resultaría difícil instalar un appliance más grande.

El XGS 3380 ofrece más margen, especialmente para conexiones de 25 GbE y un mayor número de conexiones. Sin embargo, una interfaz más rápida no aumenta por sí sola el rendimiento de la inspección de contenido. Para aprovechar gran parte de un enlace de 25 GbE con tráfico descifrado e inspeccionado, es necesario evaluar las cifras TLS por separado.

XGS 4580 y 5580: procesador de red dedicado y redundancia SSD

Los equipos más grandes combinan una CPU AMD x86 con un Marvell Octeon CN9670 como Xstream Flow Processor. Ambos siguen ocupando una unidad de rack, pero necesitan un chasis de 510 mm de profundidad. También disponen de dos ranuras Flexi Port y dos SSD NVMe con RAID-1 por software.

RAID-1 replica los datos entre los SSD. Por tanto, dos SSD de 512 GB no proporcionan 1 TB de almacenamiento utilizable. El nuevo diseño facilita el mantenimiento: los SSD defectuosos pueden sustituirse in situ mediante el procedimiento RMA, sin devolver todo el firewall. Los SSD no se pueden sustituir en caliente y no son una ampliación de almacenamiento que pueda pedirse por separado. Se sustituyen por unidades suministradas por Sophos.

Los cuatro modelos también incluyen un puerto de gestión RJ45, conexiones de consola RJ45 y Micro-USB, dos puertos USB 3.0 frontales y una pantalla LCD. Los transceptores ópticos se venden por separado. Estos modelos no incorporan pares de puertos bypass fijos ni PoE.

Rendimiento firewall, Threat Protection y TLS Inspection

La siguiente tabla recoge las cifras del folleto de Sophos Firewall disponible en el lanzamiento. Todos los valores de rendimiento se expresan en Gbit/s.

¿Cuánto más rápidos son los nuevos modelos?

Para compararlos con los equipos existentes, nos centramos en Threat Protection y TLS Inspection. Todas las cifras proceden del mismo folleto actual de Sophos Firewall. La tabla muestra el rendimiento anterior y el nuevo en Gbit/s, seguido del incremento respecto al modelo existente, redondeado a un porcentaje entero.

Los mayores saltos corresponden a los XGS 2380 y 3380. El aumento es mucho menor en el XGS 4580 frente al 4500 y en el XGS 5580 frente al 5500. En esta última comparación también cambia el formato: el XGS 5500 ocupa dos unidades de rack y el XGS 5580 solo una.

El incremento se calcula como (valor nuevo ÷ valor anterior − 1) × 100. +300 % significa cuatro veces el rendimiento. La comparación sirve para situar los modelos y no identifica sucesores oficiales ni alternativas de igual precio. Son diferencias entre cifras de laboratorio del fabricante, no mejoras garantizadas en una instalación existente.

Qué significan las mediciones

Sophos mide en condiciones ideales de laboratorio con Keysight-Ixia BreakingPoint. Las pruebas firewall e IPsec utilizan respuestas HTTP de 512 KB; el valor IPsec se distribuye entre varios túneles. IMIX utiliza una mezcla de paquetes UDP de 66, 570 y 1518 bytes.

Threat Protection incluye firewall, IPS, Application Control y prevención de malware con un Enterprise Traffic Mix. NGFW se mide con IPS y Application Control utilizando un perfil de prueba HTTP diferente. Por eso, el valor de Threat Protection puede superar al de NGFW o IPS. Las cifras proceden de métodos distintos y no representan una simple sucesión de niveles de protección acumulativos.

TLS Inspection se mide con IPS, conexiones HTTPS y diferentes conjuntos de cifrado. En un entorno con mucho tráfico cifrado, esta cifra suele resultar más útil que el rendimiento firewall bruto. El tamaño de los paquetes, las aplicaciones, las reglas, el registro y la mezcla real de tráfico TLS influyen en el resultado. Un despliegue gradual de la inspección TLS sigue siendo importante incluso con hardware potente.

Estas cifras las proporciona el fabricante; no son mediciones de nuestro propio laboratorio. Para el XGS 5580 utilizamos los 58 Gbit/s del folleto detallado; una cifra redondeada diferente difundida durante el lanzamiento no sustituye a una tabla de mediciones específica del modelo.

Conexiones y capacidad VPN

El número de túneles y el rendimiento VPN son límites independientes. Un máximo elevado de túneles no garantiza que todos puedan operar simultáneamente con gran ancho de banda. Con muchas conexiones cortas, la tasa de nuevas conexiones puede ser más importante que el ancho de banda bruto.

Consumo e instalación

Para los cuatro modelos, Sophos indica una temperatura de funcionamiento de 0 a 40 °C y una humedad relativa del 10 al 90 %, sin condensación. Especialmente los modelos largos deben instalarse en una sala técnica adecuada por su nivel de ruido. Las fuentes redundantes aportan su beneficio cuando se conectan a circuitos eléctricos separados; no sustituyen a un segundo nodo firewall.

Nuevos módulos Flexi Port para XGS 4580 y 5580

Los nuevos equipos llegan con dos módulos nuevos. La compatibilidad depende del modelo: no son ampliaciones universales para cualquier firewall XGS.

El módulo 40 GbE QSFP+ añade una conexión rápida, por ejemplo para un enlace adecuado al núcleo de red. No aumenta el rendimiento TLS ni la capacidad de los motores de seguridad. Las ópticas, el equipo del otro extremo y el cableado deben ser compatibles con la conexión prevista.

El módulo bypass de fibra de 10 GbE proporciona dos puertos de fibra LC para una ruta bypass. En un despliegue inline hay que definir y probar previamente cómo debe comportarse la conexión ante un fallo. El bypass puede mantener el flujo del tráfico; el tráfico reenviado sin inspección no conserva automáticamente su protección anterior.

Los nuevos modelos también admiten opciones Flexi Port conocidas: 8 × 1 GbE de cobre, 8 × 1 GbE SFP, 4 × 10 GbE SFP+, 4 × 1 GbE de cobre con dos pares bypass y el módulo mixto con 2 × 10 GbE NBASE-T y 2 × 10 GbE SFP+. Los módulos PoE existentes no están previstos para estos cuatro modelos nuevos.

Precios de catálogo e inicio de pedidos

Los precios de hardware indicados son precios de catálogo en EUR en el momento del lanzamiento. Las licencias, los módulos opcionales, los transceptores y los servicios se añaden por separado.

El primer día para realizar pedidos es el 4 de noviembre de 2026. Esta fecha debe distinguirse de la disponibilidad en almacén y de una fecha de entrega confirmada.

Los nuevos appliances y módulos Flexi Port estarán disponibles próximamente en nuestra tienda. Añadiremos aquí los enlaces directos cuando estén listas las páginas de producto. Hasta entonces, los precios de catálogo sirven de orientación. Nuestra comparativa de Xstream Protection y Xstream Plus explica qué servicios recurrentes pueden ser útiles además de la compra del hardware.

Nuestra valoración de los nuevos modelos Sophos XGS

Más rendimiento para el tráfico inspeccionado, interfaces modernas y nuevas opciones de expansión: los XGS 2380, 3380, 4580 y 5580 son incorporaciones positivas. Los valores comparados muestran grandes avances, especialmente en los XGS 2380 y 3380, frente a modelos antiguos con numeración similar. Quienes necesitan ese rendimiento cuentan con más posibilidades para ampliar su red.

Lo que, a nuestro juicio, sigue faltando es la renovación largamente esperada del segmento rackmount más económico. Los XGS 2100, 2300, 3100 y 3300 están disponibles desde abril de 2021; los XGS 4300 y 4500 llegaron en junio de ese año. Esta generación tiene ya unos cinco años y medio. También nos habría gustado ver versiones modernizadas del XGS 2100 y modelos similares a precios más próximos a los equipos existentes.

Un ejemplo es la conectividad de serie: los XGS 2100 y XGS 2300 no tienen 10 GbE integrado; el XGS 3100 ya cuenta con dos puertos 10 GbE SFP+. Así lo indica la Quick Start Guide oficial. Incluso el modelo de sobremesa XGS 138 incorpora ya dos conexiones de este tipo. En los XGS 2100 y 2300, añadir el módulo de cuatro puertos (XSAZTCHF4) cuesta 1’301,85 EUR de catálogo sin IVA, más los transceptores. Una conectividad moderna de serie sin módulo adicional sería especialmente bienvenida.

Al mismo tiempo, la gama crece. Desde nuestra perspectiva de asesoramiento, ya hay casi demasiados appliances con ámbitos de uso parcialmente solapados. Esto dificulta la decisión del cliente: ¿qué modelo es suficiente hoy, cuánto margen hace falta para crecer y cuándo compensa el siguiente salto de precio? Una gama más clara, con diferencias de rendimiento más marcadas, facilitaría el dimensionamiento y la planificación a largo plazo. Las numeraciones similares solo ayudan en parte, como muestran las comparaciones de rendimiento.

Para la mayoría de nuestros clientes con menos de 100 empleados, además del rendimiento necesario, el presupuesto disponible es decisivo. El XGS 2380 parte de un precio de catálogo de 9’134,66 EUR solo por el equipo, al que se suman las licencias recurrentes. Más rendimiento es positivo, pero debe seguir siendo asequible durante la vida útil prevista. Por eso, para estos clientes nos gustaría disponer de modelos nuevos con interfaces actuales y un margen de rendimiento adecuado también en segmentos de precio más accesibles.

También habríamos agradecido más tiempo para preparar el asesoramiento. En Avanet no recibimos la información técnica detallada y los precios hasta el 4 de noviembre de 2026. En lanzamientos anteriores tuvimos acceso a la información con más antelación. Algo más de tiempo antes del anuncio público nos ayudaría a evaluar los modelos y ofrecer a los clientes asesoramiento fundamentado desde el lanzamiento.

Fuentes

• Sophos Firewall Solution Brochure
• Sophos: especificaciones técnicas de los nuevos modelos 1U, 3 de noviembre de 2026
• Sophos: anuncio del lanzamiento de productos de red