Qual è la differenza tra un firewall XG e XGS?
La serie XGS è il successore della serie XG dal 2021. Il confronto originale tra hardware vecchio e nuovo oggi non è più solo una questione di prestazioni. Dal 31 marzo 2025 l’hardware XG Sophos è End of Life. Inoltre SFOS 21.x e le versioni 21 successive non supportano più hardware XG e SG.
La vera domanda oggi non è quindi solo XGS conviene?, ma piuttosto Come si pianifica correttamente il passaggio da XG?. Questo è il tema dell’articolo.
Cosa significa concretamente End of Life
End of Life per l’hardware firewall non è solo uno stato formale del lifecycle. Per l’hardware XG significa: niente più aggiornamenti di sicurezza e hotfix, niente nuovi firmware patch, nessuna nuova licenza o rinnovo del supporto e quindi nessun supporto affidabile del produttore.
Una XG che continua a funzionare in produzione dopo l’EOL diventa quindi un rischio di sicurezza. Questo è particolarmente critico per dispositivi all’internet edge, con VPN attivo, Web Protection, TLS Inspection o accessi di amministrazione esposti.
Le tre differenze più importanti
XG e XGS possono sembrare simili dall’esterno a seconda del modello, ma differiscono nettamente dal punto di vista tecnico e operativo.
- Lifecycle e supporto: l’hardware XG è End of Life. Nuove linee firmware, aggiornamenti di sicurezza, patch e licenze non sono più disponibili. XGS è la piattaforma hardware attivamente supportata.
- Architettura e prestazioni: XGS utilizza la nuova architettura Xstream con accelerazione hardware e offre molte più riserve sotto carico per le funzioni di sicurezza attuali.
- Migrazione e gestione: passare da XG a XGS non significa solo sostituire un dispositivo. Compatibilità dei backup, port mapping, stato licenze ed eventualmente HA devono essere verificati di nuovo.
L’architettura Xstream
La serie XGS dispone dello Xstream Flow Processor, che migliora nettamente le prestazioni rispetto a molti modelli XG. Soprattutto con funzioni di sicurezza attive, TLS Inspection, più uplink WAN o ambienti site-to-site sotto carico, questo fa una differenza reale.
L’architettura Xstream introdotta con SFOS v18 consolida i controlli di sicurezza in un motore DPI moderno. Il traffico attendibile può essere elaborato in modo più efficiente senza caricare la CPU nella stessa misura delle piattaforme più vecchie.
Su XG questa architettura è puramente software. Su XGS si aggiunge un livello hardware che accelera determinati percorsi dati. Non è un dettaglio di marketing, ma un aspetto rilevante nell’uso quotidiano quando più funzioni di sicurezza sono attive in parallelo.
Percorsi di migrazione
In una migrazione da XG a XGS non conviene scegliere semplicemente il modello apparentemente più vicino. È più utile fare un breve inventario:
- Quali porte WAN, LAN e DMZ vengono effettivamente utilizzate?
- Esistono casi particolari HA, stack VLAN, RED, SD-WAN o VPN?
- Quali funzioni di sicurezza sono attive oggi e quali dovranno essere attivate in futuro?
- La piattaforma di destinazione deve essere di nuovo hardware oppure una appliance virtuale o cloud?
Soprattutto nelle migrazioni da XG a XGS vale la pena confrontare il calendario Sophos Product Lifecycle e l’articolo Creare o ripristinare un backup Sophos Firewall, perché lì le domande su restore e compatibilità sono descritte più precisamente.
Quando agire
La sostituzione di una XG dovrebbe essere pianificata attivamente al più tardi quando si verifica uno dei seguenti punti:
- È necessario SFOS 21.x o una versione 21 più recente.
- I rischi di supporto, RMA o lifecycle non sono più accettabili.
- La XG esistente è chiaramente al limite sotto carico, con TLS Inspection o in esercizio VPN.
- Una sostituzione hardware è comunque prevista e si vuole evitare una seconda finestra di migrazione poco dopo.
Conclusione
La differenza più importante tra XG e XGS oggi non è più il posizionamento marketing, ma lo stato di supporto. XGS è la piattaforma hardware attuale e supportata. XG è un progetto di migrazione. Chi utilizza ancora XG non dovrebbe aspettare che un update venga bloccato o che un guasto hardware crei già pressione.