Nuovi firewall Sophos XGS 1U: confronto 2026

Il 4 novembre 2026 Sophos ha presentato diverse novità: l’appliance NDR 5500 per il monitoraggio della rete, il nuovo pacchetto di licenze Xstream Plus e, infine, nuovo hardware XGS con moduli di espansione Flexi Port.

I Sophos XGS 2380, 3380, 4580 e 5580 offrono più prestazioni per esigenze maggiori: più margine per l’ispezione delle connessioni cifrate, interfacce di rete più veloci e ulteriori possibilità di espansione. È un’aggiunta positiva per le aziende le cui reti e il cui traffico stanno crescendo. In questo articolo confrontiamo dotazione e throughput con i modelli esistenti e presentiamo i prezzi di listino delle nuove appliance e dei moduli Flexi Port.

Il nuovo hardware XGS a confronto

XGS 2380 e 3380: chassis corto, una CPU

Le due appliance più piccole utilizzano una CPU Intel x86 con core riservati a Xstream FastPath. Non è presente un Xstream Flow Processor separato. Lo chassis corto è profondo 305 mm e trova spazio anche nei rack in cui sarebbe difficile installare un’appliance più grande.

La XGS 3380 offre più margine soprattutto per connessioni a 25 GbE e un numero maggiore di connessioni. Un’interfaccia più veloce, però, non aumenta da sola le prestazioni di ispezione dei contenuti. Per utilizzare gran parte di un uplink a 25 GbE con traffico decifrato e ispezionato, occorre valutare separatamente i dati TLS.

XGS 4580 e 5580: processore di rete dedicato e ridondanza SSD

Le appliance più grandi combinano una CPU AMD x86 con un Marvell Octeon CN9670 come Xstream Flow Processor. Entrambe occupano una sola unità rack, ma richiedono uno chassis profondo 510 mm. Dispongono inoltre di due slot Flexi Port e due SSD NVMe con RAID-1 software.

Il RAID-1 replica i dati sui due SSD. Due SSD da 512 GB ciascuno non forniscono quindi 1 TB di spazio utilizzabile. La nuova struttura facilita l’assistenza: gli SSD guasti possono essere sostituiti sul posto tramite la procedura RMA, senza restituire l’intero firewall. Gli SSD non sono sostituibili a caldo e non costituiscono un upgrade di archiviazione ordinabile separatamente. Per la sostituzione si utilizzano unità fornite da Sophos.

Tutti e quattro i modelli hanno anche una porta di gestione RJ45, connessioni console RJ45 e Micro-USB, due porte USB 3.0 frontali e un display LCD. I transceiver ottici sono venduti separatamente. Questi modelli non includono coppie di porte bypass fisse né PoE.

Throughput firewall, Threat Protection e TLS Inspection

La tabella seguente riporta i valori della brochure Sophos Firewall disponibile al lancio. Tutti i throughput sono espressi in Gbit/s.

Quanto sono più veloci i nuovi modelli?

Per il confronto con le appliance esistenti ci concentriamo su Threat Protection e TLS Inspection. Tutti i valori provengono dalla stessa brochure Sophos Firewall aggiornata. La tabella mostra il throughput precedente e quello nuovo in Gbit/s, seguiti dall’aumento rispetto al modello esistente, arrotondato alla percentuale intera.

Gli incrementi più marcati riguardano XGS 2380 e 3380. Il vantaggio della XGS 4580 rispetto alla 4500 e della XGS 5580 rispetto alla 5500 è molto più contenuto. Nell’ultimo confronto cambia anche il formato: la XGS 5500 occupa due unità rack, la XGS 5580 soltanto una.

L’aumento si calcola come (nuovo valore ÷ valore precedente − 1) × 100. +300 % significa un throughput quattro volte superiore. Il confronto serve a orientarsi e non identifica successori ufficiali o alternative allo stesso prezzo. Si tratta di differenze tra valori di laboratorio del produttore, non di incrementi garantiti in un’installazione esistente.

Come interpretare i valori misurati

Sophos esegue le misurazioni in condizioni di laboratorio ideali con Keysight-Ixia BreakingPoint. I test firewall e IPsec utilizzano risposte HTTP da 512 KB; il valore IPsec è distribuito su più tunnel. IMIX utilizza una combinazione di pacchetti UDP da 66, 570 e 1518 byte.

Threat Protection comprende firewall, IPS, Application Control e prevenzione malware con un Enterprise Traffic Mix. NGFW viene misurato con IPS e Application Control utilizzando un diverso profilo di test HTTP. Per questo il valore Threat Protection può superare quello NGFW o IPS. I numeri derivano da metodi di misurazione differenti e non rappresentano una semplice sequenza di livelli di protezione cumulativi.

TLS Inspection viene misurato con IPS, connessioni HTTPS e diverse suite crittografiche. In un ambiente con molto traffico cifrato, questo valore è generalmente più significativo del throughput firewall puro. Dimensioni dei pacchetti, applicazioni, regole, logging e mix TLS effettivo influenzano il risultato. Un’introduzione graduale della TLS Inspection resta importante anche con hardware potente.

I valori sono dichiarati dal produttore, non misurati nel nostro laboratorio. Per la XGS 5580 utilizziamo i 58 Gbit/s della brochure dettagliata; un diverso valore arrotondato comunicato al lancio non sostituisce una tabella di misurazioni specifica per il modello.

Connessioni e capacità VPN

Numero di tunnel e throughput VPN sono limiti distinti. Un numero massimo elevato di tunnel non garantisce che tutti possano funzionare contemporaneamente con molta banda. Con numerose connessioni brevi, il tasso di nuove connessioni può invece essere più importante della sola larghezza di banda.

Consumi e installazione

Per tutti e quattro i modelli Sophos indica una temperatura operativa da 0 a 40 °C e un’umidità relativa dal 10 al 90 %, senza condensa. In particolare, i modelli lunghi vanno collocati in un locale tecnico adatto a causa della rumorosità. Gli alimentatori ridondanti esprimono il loro vantaggio con linee elettriche separate; non sostituiscono un secondo nodo firewall.

Nuovi moduli Flexi Port per XGS 4580 e 5580

Le nuove appliance sono accompagnate da due nuovi moduli. La compatibilità dipende dal modello: non sono espansioni universali per ogni firewall XGS.

Il modulo 40 GbE QSFP+ aggiunge una connessione veloce, ad esempio per un collegamento adeguato alla rete core. Non aumenta il throughput TLS né le prestazioni dei motori di sicurezza. Ottiche, dispositivo remoto e cablaggio devono essere compatibili con il collegamento previsto.

Il modulo bypass in fibra 10 GbE offre due porte in fibra LC per un percorso bypass. In un’installazione inline occorre definire e testare in anticipo il comportamento della connessione in caso di guasto. Il bypass può mantenere il flusso di traffico; il traffico inoltrato senza ispezione non conserva automaticamente la protezione precedente.

I nuovi modelli supportano anche opzioni Flexi Port già note: 8 × 1 GbE in rame, 8 × 1 GbE SFP, 4 × 10 GbE SFP+, 4 × 1 GbE in rame con due coppie bypass e il modulo misto con 2 × 10 GbE NBASE-T e 2 × 10 GbE SFP+. I moduli PoE esistenti non sono previsti per questi quattro nuovi modelli.

Prezzi di listino e apertura degli ordini

I prezzi hardware indicati sono i prezzi di listino in EUR al lancio. Licenze, moduli opzionali, transceiver e servizi si aggiungono separatamente.

Il primo giorno utile per ordinare è il 4 novembre 2026. Questa data va distinta dalla disponibilità a magazzino e da una data di consegna confermata.

Le nuove appliance e i moduli Flexi Port saranno presto disponibili nel nostro shop. Aggiungeremo qui i link diretti non appena le pagine prodotto saranno pronte. Nel frattempo, i prezzi di listino servono come riferimento. Il nostro confronto tra Xstream Protection e Xstream Plus spiega quali servizi ricorrenti possono essere utili oltre all’acquisto dell’hardware.

Il nostro parere sui nuovi modelli Sophos XGS

Più prestazioni per il traffico ispezionato, interfacce moderne e nuove possibilità di espansione: XGS 2380, 3380, 4580 e 5580 sono un’aggiunta positiva. Soprattutto per XGS 2380 e 3380, i confronti mostrano grandi progressi rispetto ai vecchi modelli con numerazioni simili. Chi necessita di queste prestazioni dispone quindi di ulteriori possibilità per ampliare la rete.

Ciò che, a nostro avviso, manca ancora è il rinnovo atteso da tempo nel segmento rackmount più economico. XGS 2100, 2300, 3100 e 3300 sono disponibili da aprile 2021; XGS 4300 e 4500 sono arrivati nel giugno dello stesso anno. Questa generazione ha ormai circa cinque anni e mezzo. Avremmo voluto anche versioni aggiornate della XGS 2100 e di modelli simili, con prezzi più vicini a quelli degli apparecchi esistenti.

Un esempio è la connettività di serie: XGS 2100 e XGS 2300 non hanno 10 GbE integrato; la XGS 3100 dispone già di due porte 10 GbE SFP+. Lo conferma la Quick Start Guide ufficiale. Persino il modello desktop XGS 138 offre ormai due connessioni di questo tipo. Su XGS 2100 e 2300, l’aggiunta del modulo a quattro porte (XSAZTCHF4) costa 1’301,85 EUR di listino IVA esclusa, oltre ai transceiver. Una dotazione moderna di serie, senza moduli aggiuntivi, sarebbe particolarmente apprezzata.

Nel frattempo la scelta si amplia. Dal nostro punto di vista di consulenti, ci sono ormai quasi troppe appliance con ambiti d’uso parzialmente sovrapposti. Per i clienti diventa più difficile decidere: quale modello è sufficiente oggi, quanta riserva serve per crescere e quando conviene passare alla fascia di prezzo successiva? Una gamma più chiara, con differenze prestazionali più nette, faciliterebbe il dimensionamento e la pianificazione a lungo termine. Le numerazioni simili aiutano solo in parte, come mostrano i confronti dei throughput.

Per la maggior parte dei nostri clienti con meno di 100 dipendenti, oltre alle prestazioni richieste conta soprattutto il budget disponibile. La XGS 2380 parte già da 9’134,66 EUR di listino per la sola appliance, a cui si aggiungono le licenze ricorrenti. Più prestazioni sono benvenute, ma devono restare sostenibili per tutta la durata d’uso prevista. Per questi clienti vorremmo quindi nuovi modelli con interfacce attuali e un margine prestazionale adeguato anche nelle fasce di prezzo più accessibili.

Per la consulenza avremmo inoltre apprezzato un maggiore preavviso. In Avanet abbiamo ricevuto le informazioni tecniche dettagliate e i prezzi soltanto il 4 novembre 2026. In occasione di precedenti lanci avevamo avuto accesso alle informazioni prima. Un po’ più di tempo prima dell’annuncio pubblico ci aiuterebbe a valutare i modelli e a offrire ai clienti una consulenza informata fin dal lancio.

Fonti

• Sophos Firewall Solution Brochure
• Sophos: specifiche tecniche dei nuovi modelli 1U, 3 novembre 2026
• Sophos: annuncio del lancio dei prodotti di rete