Nieuwe Sophos XGS 1U-firewalls: vergelijking 2026
Op 4 november 2026 introduceerde Sophos verschillende nieuwe producten: de NDR 5500-appliance voor netwerkbewaking, de nieuwe licentiebundel Xstream Plus en tot slot nieuwe XGS-hardware met uitbreidingsmodules (Flexi Port-modules).
De Sophos XGS 2380, 3380, 4580 en 5580 bieden meer prestaties voor hogere eisen: meer ruimte voor inspectie van versleutelde verbindingen, snellere netwerkinterfaces en extra uitbreidingsmogelijkheden. Dat is een welkome aanvulling voor bedrijven waarvan het netwerk en dataverkeer groeien. In dit artikel vergelijken we de uitrusting en doorvoer met de bestaande modellen en laten we zien wat de nieuwe appliances en Flexi Port-modules volgens de prijslijst kosten.
De nieuwe XGS-hardware vergeleken
XGS 2380 en 3380: korte behuizing, één CPU
De twee kleinere apparaten gebruiken een Intel x86-CPU met gereserveerde cores voor Xstream FastPath. Een aparte Xstream Flow Processor is niet aanwezig. De korte behuizing is 305 mm diep en past daarmee ook in racks waarin een grotere appliance moeilijk te plaatsen zou zijn.
| Hardware | XGS 2380 | XGS 3380 |
|---|---|---|
| Formaat | 1U Short | 1U Short |
| CPU | Intel x86 | Intel x86 |
| CPU-geheugen | 16 GB DDR5, 1 × 16 GB | 32 GB DDR5, 2 × 16 GB |
| Aparte netwerkprocessor | Nee | Nee |
| eMMC | 32 GB | 32 GB |
| NVMe-SSD | 1 × 128 GB | 1 × 256 GB |
| SSD-RAID | Nee | Nee |
| Koperpoorten | 8 × 2,5 GbE | 8 × 2,5 GbE |
| Glasvezelpoorten | 2 × 1-GbE-SFP, 2 × 10-GbE-SFP+ | 2 × 10-GbE-SFP+, 2 × 25-GbE-SFP28 |
| Flexi Port-slots | 1 | 1 |
| Maximaal aantal netwerkpoorten | 20 | 20 |
| Tweede interne voeding | Optioneel | Optioneel |
| Breedte × diepte × hoogte | 438 × 305 × 44 mm | 438 × 305 × 44 mm |
| Gewicht zonder verpakking | 5 kg | 5 kg |
De XGS 3380 biedt vooral voor 25-GbE-verbindingen en hogere verbindingsaantallen meer ruimte. Een snellere interface verhoogt op zichzelf echter niet de prestaties van inhoudsinspectie. Wie een 25-GbE-uplink grotendeels wil benutten met ontsleuteld en geïnspecteerd verkeer, moet de TLS-waarden afzonderlijk bekijken.
XGS 4580 en 5580: eigen netwerkprocessor en SSD-redundantie
De grotere apparaten combineren een AMD x86-CPU met een Marvell Octeon CN9670 als Xstream Flow Processor. Beide nemen nog steeds één rackunit in beslag, maar hebben een behuizing van 510 mm diep. Daarnaast beschikken ze over twee Flexi Port-slots en twee NVMe-SSD’s met software-RAID-1.
| Hardware | XGS 4580 | XGS 5580 |
|---|---|---|
| Formaat | 1U Long | 1U Long |
| CPU | AMD x86 | AMD x86 |
| CPU-geheugen | 32 GB DDR5, 2 × 16 GB | 64 GB DDR5, 2 × 32 GB |
| Xstream Flow Processor | Marvell Octeon CN9670 | Marvell Octeon CN9670 |
| NPU-geheugen | 8 GB DDR4 ECC | 16 GB DDR4 ECC |
| eMMC | 32 GB | 32 GB |
| NVMe-SSDs | 2 × 256 GB | 2 × 512 GB |
| SSD-RAID | Software-RAID-1 | Software-RAID-1 |
| Koperpoorten | 8 × 2,5 GbE | 8 × 2,5 GbE |
| Glasvezelpoorten | 4 × 25-GbE-SFP28 | 4 × 25-GbE-SFP28 |
| Flexi Port-slots | 2 | 2 |
| Maximaal aantal netwerkpoorten | 28 | 28 |
| Tweede interne voeding | Optioneel | Inbegrepen |
| Breedte × diepte × hoogte | 438 × 510 × 44 mm | 438 × 510 × 44 mm |
| Gewicht zonder verpakking | 9,0 kg | 9,4 kg |
RAID-1 spiegelt de SSD’s. Twee SSD’s van elk 512 GB leveren dus geen 1 TB bruikbare opslag op. Het nieuwe ontwerp vereenvoudigt onderhoud: defecte SSD’s kunnen via de RMA-procedure ter plaatse worden vervangen, zonder de hele firewall terug te sturen. De SSD’s zijn niet hot-swappable en vormen geen afzonderlijk bestelbare opslagupgrade. Vervanging gebeurt met door Sophos geleverde drives.
Alle vier modellen hebben ook een RJ45-managementpoort, RJ45- en Micro-USB-consoleaansluitingen, twee USB 3.0-poorten aan de voorkant en een lcd. Optische transceivers worden apart verkocht. Vaste bypass-poortparen en PoE behoren bij deze modellen niet tot de uitrusting.
Firewall-doorvoer, Threat Protection en TLS Inspection
De volgende tabel neemt de waarden over uit de Sophos Firewall-brochure die bij de introductie beschikbaar was. Alle doorvoerwaarden zijn uitgedrukt in Gbit/s.
| Meetwaarde | XGS 2380 | XGS 3380 | XGS 4580 | XGS 5580 |
|---|---|---|---|---|
| Firewall | 59,8 | 80 | 105 | 112,5 |
| Firewall IMIX | 30 | 35 | 37 | 52 |
| IPS | 26 | 32 | 38,5 | 48 |
| Threat Protection | 23,3 | 32 | 45 | 58 |
| NGFW | 20 | 26 | 35 | 44 |
| IPsec VPN | 48,5 | 74 | 97 | 105 |
| Xstream SSL/TLS Inspection | 8 | 9,5 | 12 | 16 |
Hoeveel sneller zijn de nieuwe modellen?
Voor de vergelijking met de bestaande apparaten richten we ons op Threat Protection en TLS Inspection. Alle waarden komen uit dezelfde actuele Sophos Firewall-brochure. De tabel toont telkens de bestaande en nieuwe doorvoer in Gbit/s, gevolgd door de toename ten opzichte van het bestaande model, afgerond op hele procenten.
| Vergelijking | Threat Protection | TLS Inspection |
|---|---|---|
| XGS 2100 → 2380 | 5,6 → 23,3 (+316 %) | 2 → 8 (+300 %) |
| XGS 2300 → 2380 | 5,9 → 23,3 (+295 %) | 2,1 → 8 (+281 %) |
| XGS 3100 → 3380 | 8,3 → 32 (+286 %) | 3,2 → 9,5 (+197 %) |
| XGS 3300 → 3380 | 12 → 32 (+167 %) | 3,7 → 9,5 (+157 %) |
| XGS 4500 → 4580 | 34,75 → 45 (+29 %) | 10,6 → 12 (+13 %) |
| XGS 5500 → 5580 | 52 → 58 (+12 %) | 13,5 → 16 (+19 %) |
De grootste sprongen zien we bij de XGS 2380 en 3380. Bij de XGS 4580 tegenover de 4500 en de XGS 5580 tegenover de 5500 is de winst duidelijk kleiner. Bij die laatste vergelijking verandert ook het formaat: de XGS 5500 neemt twee rackunits in beslag, de XGS 5580 slechts één.
De toename wordt berekend als (nieuwe waarde ÷ bestaande waarde − 1) × 100. +300 % betekent vier keer zoveel doorvoer. De vergelijking dient ter duiding en wijst geen officiële opvolgers of alternatieven met dezelfde prijs aan. Het gaat om verschillen tussen laboratoriumwaarden van de fabrikant, niet om gegarandeerde verbeteringen in een bestaande installatie.
Wat de meetwaarden betekenen
Sophos meet onder ideale laboratoriumomstandigheden met Keysight-Ixia BreakingPoint. De firewall- en IPsec-tests gebruiken HTTP-antwoorden van 512 KB; de IPsec-waarde is verdeeld over meerdere tunnels. IMIX gebruikt een mix van UDP-pakketten van 66, 570 en 1518 bytes.
Threat Protection omvat firewall, IPS, Application Control en malwarepreventie met een Enterprise Traffic Mix. NGFW wordt gemeten met IPS en Application Control volgens een ander HTTP-testprofiel. Daardoor kan een Threat Protection-waarde hoger zijn dan de NGFW- of IPS-waarde. De cijfers komen uit verschillende meetmethoden en zijn niet te lezen als een eenvoudige reeks cumulatieve beschermingsniveaus.
TLS Inspection wordt gemeten met IPS, HTTPS-verbindingen en verschillende cipher suites. Voor een omgeving met veel versleuteld verkeer is deze waarde doorgaans betekenisvoller dan de ruwe firewall-doorvoer. Pakketgroottes, toepassingen, regels, logging en de werkelijke TLS-mix beïnvloeden het resultaat. Een stapsgewijze invoering van TLS-inspectie blijft ook met krachtige hardware belangrijk.
De waarden zijn fabrikantopgaven, geen metingen uit ons eigen testlaboratorium. Voor de XGS 5580 gebruiken we de 58 Gbit/s uit de gedetailleerde brochure; een afwijkend afgerond cijfer bij de introductie vervangt geen modelspecifieke meettabel.
Verbindingen en VPN-capaciteit
| Capaciteit | XGS 2380 | XGS 3380 | XGS 4580 | XGS 5580 |
|---|---|---|---|---|
| Gelijktijdige verbindingen | 8 miljoen | 16,6 miljoen | 17,2 miljoen | 35 miljoen |
| Nieuwe verbindingen per seconde | 420’000 | 500’000 | 700’000 | 775’000 |
| Gelijktijdige IPsec-tunnels | 6’500 | 8’500 | 10’000 | 10’000 |
| Gelijktijdige SSL-VPN-tunnels | 2’500 | 5’000 | 7’500 | 15’000 |
| Gelijktijdige SSL/TLS-verbindingen | 21’195 | 117’756 | 276’480 | 511’992 |
| Firewall-latentie, 64-byte UDP | 6 µs | 7 µs | 4 µs | 5 µs |
Het aantal tunnels en de VPN-doorvoer zijn afzonderlijke grenzen. Een hoog maximaal aantal tunnels garandeert niet dat alle tunnels tegelijk met hoge bandbreedte kunnen werken. Bij veel korte verbindingen kan het aantal nieuwe verbindingen per seconde juist belangrijker zijn dan de pure bandbreedte.
Energieverbruik en plaatsing
| Fabrikantopgave | XGS 2380 | XGS 3380 | XGS 4580 | XGS 5580 |
|---|---|---|---|---|
| Energieverbruik in rust | 80 W | 80 W | 115 W | 125 W |
| Typisch verbruik bij volle belasting | 200 W | 200 W | 246,18 W | 262,13 W |
| Typisch / maximaal geluidsniveau | 42 / 45 dBA | 42 / 45 dBA | 54 / 65 dBA | 54 / 65 dBA |
Voor alle vier modellen geeft Sophos een bedrijfstemperatuur van 0 tot 40 °C en een relatieve luchtvochtigheid van 10 tot 90 procent op, zonder condensatie. Vooral de lange modellen horen vanwege hun geluidsniveau in een geschikte technische ruimte. Redundante voedingen komen pas goed tot hun recht met gescheiden stroomvoorzieningen; ze vervangen geen tweede firewall-node.
Nieuwe Flexi Port-modules voor XGS 4580 en 5580
Samen met de nieuwe apparaten verschijnen twee nieuwe modules. De compatibiliteit is modelgebonden: deze modules zijn geen universele uitbreidingen voor iedere XGS-firewall.
| Nieuwe module | SKU | Compatibiliteit | Lijstprijs EUR excl. btw |
|---|---|---|---|
| 1 Port 40GE QSFP+ Flexi Port Module | HM1PQS00ZZPCAA | XGS 4580 / 5580 | 1’567,50 |
| 2 Port 10GE Fiber (LC) Bypass Flexi Port Module | HM2PBP00ZZPCAA | XGS 4580 / 5580 / NDR 5500 | 7’125,00 |
De 40-GbE-QSFP+-module voegt een snelle aansluiting toe, bijvoorbeeld voor een passende verbinding met het core-netwerk. Ze verhoogt noch de TLS-doorvoer, noch de prestaties van de beveiligingsengines. Optiek, apparatuur aan de andere kant en bekabeling moeten bij de geplande verbinding passen.
De 10-GbE-glasvezelbypassmodule biedt twee LC-glasvezelpoorten voor een bypass-pad. Bij inline-gebruik moet vooraf worden vastgelegd en getest hoe de verbinding zich bij uitval moet gedragen. Bypass kan de verkeersstroom in stand houden; ongeïnspecteerd doorgestuurd verkeer behoudt daarbij niet automatisch de eerdere bescherming.
Daarnaast ondersteunen de nieuwe modellen bekende Flexi Port-opties, waaronder 8 × 1 GbE koper, 8 × 1 GbE SFP, 4 × 10 GbE SFP+, 4 × 1 GbE koper met twee bypass-paren en de gemengde module met 2 × 10 GbE NBASE-T en 2 × 10 GbE SFP+. De bestaande PoE-modules zijn niet bedoeld voor deze vier nieuwe modellen.
Lijstprijzen en start van bestellingen
De vermelde hardwareprijzen zijn EUR-lijstprijzen bij de introductie. Licenties, optionele modules, transceivers en diensten komen daar afzonderlijk bij.
| Appliance | SKU | Lijstprijs EUR excl. btw |
|---|---|---|
| Sophos XGS 2380 | XG238000ZZPCEK | 9’134,66 |
| Sophos XGS 3380 | XG338000ZZPCEK | 13’585,47 |
| Sophos XGS 4580 | XG458000ZZPCEK | 22’386,21 |
| Sophos XGS 5580 | XG558000ZZPCEK | 32’121,45 |
De eerste besteldatum is 4 november 2026. Dit staat los van de beschikbare voorraad en een bevestigde leverdatum.
De nieuwe appliances en Flexi Port-modules zijn binnenkort beschikbaar in onze shop. Zodra de productpagina’s klaar zijn, voegen we hier de directe links toe. Tot die tijd dienen de lijstprijzen als indicatie. Onze aparte vergelijking van Xstream Protection en Xstream Plus legt uit welke doorlopende diensten naast de hardwareaankoop zinvol kunnen zijn.
Ons oordeel over de nieuwe Sophos XGS-modellen
Meer prestaties voor geïnspecteerd verkeer, moderne interfaces en nieuwe uitbreidingsmogelijkheden: de XGS 2380, 3380, 4580 en 5580 zijn welkome aanvullingen. Vooral bij de XGS 2380 en 3380 laten de vergelijkingswaarden grote sprongen zien tegenover oudere modellen met een vergelijkbaar nummer. Wie die prestaties nodig heeft, krijgt daarmee extra mogelijkheden om het netwerk uit te breiden.
Wat volgens ons nog ontbreekt, is de al lang verwachte vernieuwing in het betaalbaardere rackmount-segment. De XGS 2100, 2300, 3100 en 3300 zijn sinds april 2021 verkrijgbaar; de XGS 4300 en 4500 volgden in juni van dat jaar. Deze generatie is inmiddels ongeveer vijf en een half jaar oud. We hadden ook graag gemoderniseerde versies van de XGS 2100 en vergelijkbare apparaten gezien, met prijzen dichter bij de bestaande modellen.
Een voorbeeld is de standaard netwerkconnectiviteit: de XGS 2100 en XGS 2300 hebben geen onboard 10 GbE; de XGS 3100 heeft al twee 10-GbE-SFP+-poorten. Dat blijkt uit de officiële Quick Start Guide. Zelfs het desktopmodel XGS 138 heeft inmiddels twee van zulke aansluitingen. Bij de XGS 2100 en 2300 kost uitbreiding met de vierpoorts module (XSAZTCHF4) 1’301,85 EUR extra volgens de prijslijst, exclusief btw, plus transceivers. Moderne standaardconnectiviteit zonder extra module zou hier bijzonder welkom zijn.
Tegelijkertijd wordt de keuze groter. Vanuit onze adviespraktijk zijn er inmiddels bijna te veel appliances met deels overlappende toepassingen. Dat maakt de keuze voor klanten lastiger: welk model volstaat vandaag, hoeveel reserve is nodig voor groei en wanneer loont de volgende prijsstap? Een overzichtelijker aanbod met duidelijkere prestatieverschillen zou de dimensionering en planning op lange termijn vereenvoudigen. Vergelijkbare modelnummers helpen maar beperkt, zoals de doorvoervergelijkingen laten zien.
Bij de meeste van onze klanten met minder dan 100 medewerkers is naast de benodigde prestatie vooral het beschikbare budget doorslaggevend. De XGS 2380 begint al bij een lijstprijs van 9’134,66 EUR voor alleen de appliance; de doorlopende licenties komen daar nog bij. Meer prestaties zijn welkom, maar moeten over de geplande gebruiksduur betaalbaar blijven. Voor deze klanten wensen we daarom nieuwe modellen met actuele interfaces en passende prestatiereserves, ook in het voordeligere segment.
Voor ons advieswerk hadden we bovendien graag meer voorbereidingstijd gehad. De exacte technische informatie en prijzen ontvingen we bij Avanet pas op 4 november 2026. Bij eerdere productintroducties kregen we de informatie eerder. Wat meer tijd voor de publieke introductie zou ons helpen de modellen te beoordelen en klanten vanaf de start goed onderbouwd te adviseren.
Bronnen
- Sophos Firewall Solution Brochure
- Sophos: technische specificaties van de nieuwe 1U-modellen, 3 november 2026
- Sophos: aankondiging van de netwerklancering
