Nouveaux pare-feu Sophos XGS 1U : comparatif 2026

Le 4 novembre 2026, Sophos a présenté plusieurs nouveautés : l’appliance NDR 5500 pour la surveillance du réseau, la nouvelle offre de licences Xstream Plus et, enfin, de nouveaux équipements XGS accompagnés de modules d’extension Flexi Port.

Les Sophos XGS 2380, 3380, 4580 et 5580 apportent davantage de performances pour des besoins croissants : plus de capacité pour inspecter les connexions chiffrées, des interfaces réseau plus rapides et de nouvelles possibilités d’extension. C’est un ajout bienvenu pour les entreprises dont le réseau et le trafic se développent. Dans cet article, nous comparons les caractéristiques et les débits avec les modèles existants et présentons les prix catalogue des nouvelles appliances et des modules Flexi Port.

Comparatif du nouveau matériel XGS

XGS 2380 et 3380 : châssis court, un seul CPU

Les deux petites appliances utilisent un CPU Intel x86 avec des cœurs réservés à Xstream FastPath. Elles ne disposent pas d’un Xstream Flow Processor distinct. Leur châssis court de 305 mm de profondeur convient aussi aux baies dans lesquelles une appliance plus volumineuse serait difficile à installer.

La XGS 3380 offre davantage de réserve, notamment pour les connexions 25 GbE et un plus grand nombre de connexions. Une interface plus rapide n’améliore toutefois pas à elle seule les performances d’inspection du contenu. Pour exploiter largement une liaison montante de 25 GbE avec du trafic déchiffré et inspecté, il faut examiner séparément les valeurs TLS.

XGS 4580 et 5580 : processeur réseau dédié et redondance SSD

Les grandes appliances associent un CPU AMD x86 à un Marvell Octeon CN9670 faisant office de Xstream Flow Processor. Elles occupent toujours une seule unité de rack, mais leur châssis mesure 510 mm de profondeur. Elles disposent également de deux emplacements Flexi Port et de deux SSD NVMe en RAID-1 logiciel.

Le RAID-1 met les SSD en miroir. Deux SSD de 512 GB ne donnent donc pas 1 TB de stockage utilisable. La nouvelle conception facilite la maintenance : les SSD défectueux peuvent être remplacés sur site dans le cadre d’une procédure RMA, sans renvoyer tout le firewall. Les SSD ne sont pas échangeables à chaud et ne constituent pas une extension de stockage commandable séparément. Les remplacements utilisent des disques fournis par Sophos.

Les quatre modèles disposent aussi d’un port de gestion RJ45, de connexions console RJ45 et Micro-USB, de deux ports USB 3.0 en façade et d’un écran LCD. Les transceivers optiques sont vendus séparément. Ces modèles ne comportent ni paires de ports bypass fixes ni PoE.

Débit firewall, Threat Protection et TLS Inspection

Le tableau suivant reprend les valeurs de la brochure Sophos Firewall disponible au lancement. Tous les débits sont exprimés en Gbit/s.

Quel est le gain de performances des nouveaux modèles ?

Pour comparer les appliances aux modèles existants, nous nous concentrons sur Threat Protection et TLS Inspection. Toutes les valeurs proviennent de la même brochure Sophos Firewall actuelle. Le tableau indique le débit du modèle existant puis du nouveau modèle en Gbit/s, suivi de l’augmentation par rapport au modèle existant, arrondie au pourcentage entier.

Les gains les plus importants concernent les XGS 2380 et 3380. L’écart est nettement plus faible entre la XGS 4580 et la 4500, ainsi qu’entre la XGS 5580 et la 5500. Pour cette dernière comparaison, le format change aussi : la XGS 5500 occupe deux unités de rack, contre une seule pour la XGS 5580.

L’augmentation se calcule ainsi : (nouvelle valeur ÷ ancienne valeur − 1) × 100. +300 % signifie un débit multiplié par quatre. Cette comparaison sert à situer les modèles et ne désigne ni des successeurs officiels ni des alternatives de même prix. Il s’agit d’écarts entre des valeurs de laboratoire du constructeur, pas de gains garantis dans une installation existante.

Ce que signifient les mesures

Sophos réalise ses mesures dans des conditions de laboratoire idéales avec Keysight-Ixia BreakingPoint. Les tests firewall et IPsec utilisent des réponses HTTP de 512 KB ; la valeur IPsec est répartie sur plusieurs tunnels. IMIX utilise un mélange de paquets UDP de 66, 570 et 1518 octets.

Threat Protection comprend le firewall, l’IPS, Application Control et la prévention des malwares avec un Enterprise Traffic Mix. NGFW est mesuré avec l’IPS et Application Control selon un autre profil de test HTTP. Une valeur Threat Protection peut donc dépasser la valeur NGFW ou IPS. Ces chiffres résultent de méthodes de mesure différentes et ne correspondent pas à une simple succession de niveaux de protection cumulés.

TLS Inspection est mesuré avec l’IPS, des connexions HTTPS et différentes suites cryptographiques. Dans un environnement où le trafic chiffré est important, cette valeur est généralement plus pertinente que le débit firewall brut. La taille des paquets, les applications, les règles, la journalisation et le mélange réel de trafic TLS influencent le résultat. Un déploiement progressif de l’inspection TLS reste important, même avec du matériel performant.

Ces valeurs sont celles du constructeur, et non des mesures issues de notre propre laboratoire. Pour la XGS 5580, nous retenons les 58 Gbit/s de la brochure détaillée ; une valeur arrondie différente annoncée au lancement ne remplace pas un tableau de mesures propre au modèle.

Connexions et capacité VPN

Le nombre de tunnels et le débit VPN sont deux limites distinctes. Un nombre maximal élevé de tunnels ne garantit pas que tous puissent fonctionner simultanément avec une bande passante élevée. En présence de nombreuses connexions courtes, le taux de nouvelles connexions peut être plus important que la bande passante brute.

Consommation et installation

Pour les quatre modèles, Sophos indique une température de fonctionnement de 0 à 40 °C et une humidité relative de 10 à 90 %, sans condensation. Les modèles longs, en particulier, doivent être installés dans un local technique adapté en raison de leur niveau sonore. Les alimentations redondantes ne prennent tout leur sens qu’avec des circuits électriques distincts ; elles ne remplacent pas un second nœud firewall.

Nouveaux modules Flexi Port pour XGS 4580 et 5580

Deux nouveaux modules accompagnent les nouvelles appliances. La compatibilité dépend du modèle : ces modules ne sont pas des extensions universelles pour tous les firewalls XGS.

Le module 40 GbE QSFP+ ajoute une connexion rapide, par exemple vers un cœur de réseau adapté. Il n’augmente ni le débit TLS ni les performances des moteurs de sécurité. Les optiques, l’équipement distant et le câblage doivent correspondre à la liaison prévue.

Le module bypass fibre 10 GbE fournit deux ports fibre LC pour un chemin de bypass. Dans un déploiement inline, il faut définir et tester à l’avance le comportement de la connexion en cas de panne. Le bypass peut maintenir le flux de trafic ; un trafic transmis sans inspection ne conserve pas automatiquement le niveau de protection antérieur.

Les nouveaux modèles prennent aussi en charge des options Flexi Port déjà connues : 8 × 1 GbE cuivre, 8 × 1 GbE SFP, 4 × 10 GbE SFP+, 4 × 1 GbE cuivre avec deux paires bypass, ainsi que le module mixte avec 2 × 10 GbE NBASE-T et 2 × 10 GbE SFP+. Les modules PoE existants ne sont pas prévus pour ces quatre nouveaux modèles.

Prix catalogue et ouverture des commandes

Les prix du matériel indiqués sont les prix catalogue en EUR au lancement. Les licences, modules optionnels, transceivers et prestations s’ajoutent séparément.

Le premier jour de commande est le 4 novembre 2026. Cette date doit être distinguée du stock disponible et d’une date de livraison confirmée.

Les nouvelles appliances et les modules Flexi Port seront bientôt disponibles dans notre boutique. Nous ajouterons ici les liens directs dès que les pages produits seront prêtes. D’ici là, les prix catalogue servent de repère. Notre comparatif entre Xstream Protection et Xstream Plus explique quelles prestations récurrentes peuvent être utiles en complément du matériel.

Notre avis sur les nouveaux modèles Sophos XGS

Davantage de performances pour le trafic inspecté, des interfaces modernes et de nouvelles possibilités d’extension : les XGS 2380, 3380, 4580 et 5580 sont des ajouts bienvenus. Les comparaisons montrent des gains particulièrement importants pour les XGS 2380 et 3380 face aux anciens modèles aux numéros proches. Les entreprises qui ont besoin de ces performances disposent ainsi de nouvelles possibilités pour développer leur réseau.

Ce qui manque encore, selon nous, c’est le renouvellement attendu depuis longtemps dans le segment rackmount plus abordable. Les XGS 2100, 2300, 3100 et 3300 sont disponibles depuis avril 2021 ; les XGS 4300 et 4500 ont suivi en juin de la même année. Cette génération a désormais environ cinq ans et demi. Nous aurions aussi souhaité des versions modernisées de la XGS 2100 et des modèles similaires, à des prix plus proches des appareils existants.

La connectique réseau de série en est un exemple : les XGS 2100 et XGS 2300 n’ont pas de 10 GbE intégré ; la XGS 3100 dispose déjà de deux ports 10 GbE SFP+. Le Quick Start Guide officiel le confirme. Même le modèle de bureau XGS 138 possède désormais deux de ces connexions. Sur les XGS 2100 et 2300, l’ajout du module quatre ports (XSAZTCHF4) coûte 1’301,85 EUR HT au prix catalogue, plus les transceivers. Une connectique moderne de série, sans module supplémentaire, serait particulièrement bienvenue.

Parallèlement, la gamme s’élargit. Du point de vue de notre activité de conseil, il existe désormais presque trop d’appliances aux usages partiellement similaires. Le choix devient plus difficile pour les clients : quel modèle suffit aujourd’hui, quelle réserve faut-il prévoir pour la croissance et quand le palier de prix suivant se justifie-t-il ? Une gamme plus lisible, avec des écarts de performances plus nets, faciliterait le dimensionnement et la planification à long terme. Les numéros de modèles proches n’aident que partiellement, comme le montrent les comparaisons de débit.

Pour la plupart de nos clients de moins de 100 collaborateurs, le budget disponible est déterminant, en plus des performances nécessaires. La XGS 2380 démarre déjà à 9’134,66 EUR au prix catalogue pour l’appliance seule, auxquels s’ajoutent les licences récurrentes. Plus de performances est appréciable, mais le coût doit rester supportable sur la durée d’utilisation prévue. Pour ces clients, nous souhaitons donc de nouveaux modèles offrant des interfaces actuelles et une réserve de puissance adaptée, également dans des gammes de prix plus accessibles.

Nous aurions également souhaité davantage de temps pour préparer nos conseils. Chez Avanet, les informations techniques détaillées et les prix ne nous sont parvenus que le 4 novembre 2026. Lors de précédents lancements, nous avions eu accès aux informations plus tôt. Un peu plus de temps avant l’annonce publique nous aiderait à évaluer les modèles et à conseiller les clients de manière éclairée dès le lancement.

Sources

• Sophos Firewall Solution Brochure
• Sophos : spécifications techniques des nouveaux modèles 1U, 3 novembre 2026
• Sophos : annonce du lancement réseau