Novos firewalls Sophos XGS 1U: comparação 2026

A 4 de novembro de 2026, a Sophos apresentou várias novidades: o appliance NDR 5500 para monitorização da rede, o novo pacote de licenças Xstream Plus e, por fim, novo hardware XGS com módulos de expansão Flexi Port.

Os Sophos XGS 2380, 3380, 4580 e 5580 oferecem mais desempenho para exigências superiores: maior margem para inspecionar ligações encriptadas, interfaces de rede mais rápidas e possibilidades adicionais de expansão. É uma adição bem-vinda para empresas cujas redes e tráfego estão a crescer. Neste artigo, comparamos as características e os débitos com os modelos existentes e apresentamos os preços de tabela dos novos appliances e módulos Flexi Port.

Comparação do novo hardware XGS

XGS 2380 e 3380: chassis curto, uma CPU

Os dois equipamentos mais pequenos utilizam uma CPU Intel x86 com núcleos reservados para o Xstream FastPath. Não incluem um Xstream Flow Processor separado. O chassis curto tem 305 mm de profundidade e cabe também em racks onde seria difícil instalar um appliance maior.

O XGS 3380 oferece maior margem, sobretudo para ligações de 25 GbE e um número superior de ligações. No entanto, uma interface mais rápida não aumenta, por si só, o desempenho da inspeção de conteúdos. Para utilizar grande parte de um uplink de 25 GbE com tráfego desencriptado e inspecionado, é necessário considerar os valores TLS separadamente.

XGS 4580 e 5580: processador de rede dedicado e redundância SSD

Os equipamentos maiores combinam uma CPU AMD x86 com um Marvell Octeon CN9670 como Xstream Flow Processor. Ambos continuam a ocupar uma unidade de rack, mas necessitam de um chassis com 510 mm de profundidade. Incluem ainda dois slots Flexi Port e dois SSD NVMe com RAID-1 por software.

O RAID-1 espelha os SSD. Por isso, dois SSD de 512 GB não fornecem 1 TB de armazenamento utilizável. A nova construção facilita a assistência: os SSD avariados podem ser substituídos no local através do processo RMA, sem devolver o firewall completo. Os SSD não permitem substituição a quente e não constituem uma atualização de armazenamento encomendável separadamente. A substituição utiliza unidades fornecidas pela Sophos.

Os quatro modelos incluem também uma porta de gestão RJ45, ligações de consola RJ45 e Micro-USB, duas portas USB 3.0 frontais e um LCD. Os transceivers óticos são vendidos separadamente. Estes modelos não dispõem de pares de portas bypass fixos nem de PoE.

Débito de firewall, Threat Protection e TLS Inspection

A tabela seguinte apresenta os valores da brochura Sophos Firewall disponível no lançamento. Todos os débitos estão expressos em Gbit/s.

Quanto mais rápidos são os novos modelos?

Para a comparação com os equipamentos existentes, concentramo-nos em Threat Protection e TLS Inspection. Todos os valores provêm da mesma brochura Sophos Firewall atual. A tabela mostra o débito anterior e o novo em Gbit/s, seguidos do aumento face ao modelo existente, arredondado à percentagem inteira.

Os maiores aumentos surgem nos XGS 2380 e 3380. No XGS 4580 face ao 4500 e no XGS 5580 face ao 5500, o ganho é bastante menor. Na última comparação também muda o formato: o XGS 5500 ocupa duas unidades de rack, enquanto o XGS 5580 ocupa apenas uma.

O aumento calcula-se como (novo valor ÷ valor anterior − 1) × 100. +300 % significa quatro vezes o débito. A comparação serve para enquadrar os modelos e não identifica sucessores oficiais nem alternativas ao mesmo preço. São diferenças entre valores laboratoriais do fabricante, não melhorias garantidas numa instalação existente.

O que significam as medições

A Sophos mede em condições laboratoriais ideais com Keysight-Ixia BreakingPoint. Os testes de firewall e IPsec utilizam respostas HTTP de 512 KB; o valor IPsec é distribuído por vários túneis. O IMIX utiliza uma mistura de pacotes UDP de 66, 570 e 1518 bytes.

Threat Protection inclui firewall, IPS, Application Control e prevenção de malware com um Enterprise Traffic Mix. NGFW é medido com IPS e Application Control segundo um perfil de teste HTTP diferente. Por isso, um valor de Threat Protection pode superar o de NGFW ou IPS. Os números resultam de métodos de medição distintos e não representam uma sequência simples de níveis de proteção cumulativos.

TLS Inspection é medido com IPS, ligações HTTPS e diferentes conjuntos de cifras. Num ambiente com muito tráfego encriptado, este valor costuma ser mais útil do que o débito bruto de firewall. A dimensão dos pacotes, as aplicações, as regras, o registo e a composição real do tráfego TLS influenciam o resultado. Uma implementação faseada da inspeção TLS continua a ser importante, mesmo com hardware potente.

Os valores são fornecidos pelo fabricante, não medidos no nosso próprio laboratório. Para o XGS 5580 utilizamos os 58 Gbit/s da brochura detalhada; um valor arredondado diferente divulgado no lançamento não substitui uma tabela de medições específica do modelo.

Ligações e capacidade VPN

O número de túneis e o débito VPN são limites separados. Um número máximo elevado de túneis não garante que todos possam funcionar simultaneamente com muita largura de banda. Com muitas ligações curtas, a taxa de novas ligações pode ser mais importante do que a largura de banda bruta.

Consumo e instalação

Para os quatro modelos, a Sophos indica uma temperatura de funcionamento entre 0 e 40 °C e humidade relativa entre 10 e 90 %, sem condensação. Sobretudo os modelos longos devem ser instalados numa sala técnica adequada devido ao ruído. As fontes de alimentação redundantes só oferecem o benefício esperado com circuitos elétricos separados; não substituem um segundo nó de firewall.

Novos módulos Flexi Port para XGS 4580 e 5580

Dois novos módulos acompanham os novos equipamentos. A compatibilidade depende do modelo: não são expansões universais para qualquer firewall XGS.

O módulo 40 GbE QSFP+ acrescenta uma ligação rápida, por exemplo para uma ligação adequada ao núcleo da rede. Não aumenta o débito TLS nem o desempenho dos motores de segurança. As óticas, o equipamento remoto e a cablagem têm de ser adequados à ligação planeada.

O módulo bypass de fibra de 10 GbE disponibiliza duas portas de fibra LC para um caminho bypass. Numa implementação inline, é necessário definir e testar previamente como a ligação deve comportar-se em caso de falha. O bypass pode manter o fluxo de tráfego; o tráfego encaminhado sem inspeção não conserva automaticamente a proteção anterior.

Os novos modelos também suportam opções Flexi Port já conhecidas: 8 × 1 GbE cobre, 8 × 1 GbE SFP, 4 × 10 GbE SFP+, 4 × 1 GbE cobre com dois pares bypass e o módulo misto com 2 × 10 GbE NBASE-T e 2 × 10 GbE SFP+. Os módulos PoE existentes não se destinam a estes quatro novos modelos.

Preços de tabela e início das encomendas

Os preços de hardware apresentados são preços de tabela em EUR no lançamento. Licenças, módulos opcionais, transceivers e serviços são cobrados à parte.

O primeiro dia de encomenda é 4 de novembro de 2026. Esta data deve ser distinguida da disponibilidade em stock e de uma data de entrega confirmada.

Os novos appliances e módulos Flexi Port estarão brevemente disponíveis na nossa loja. Acrescentaremos aqui as ligações diretas assim que as páginas dos produtos estiverem prontas. Até lá, os preços de tabela servem de referência. A nossa comparação entre Xstream Protection e Xstream Plus explica que serviços recorrentes podem ser úteis além da compra do hardware.

A nossa opinião sobre os novos modelos Sophos XGS

Mais desempenho para tráfego inspecionado, interfaces modernas e novas possibilidades de expansão: os XGS 2380, 3380, 4580 e 5580 são adições bem-vindas. Sobretudo os XGS 2380 e 3380 apresentam grandes ganhos face aos modelos antigos com numeração semelhante. Quem necessita deste desempenho passa a ter mais opções para expandir a rede.

O que ainda falta, na nossa perspetiva, é a renovação há muito esperada no segmento rackmount mais acessível. Os XGS 2100, 2300, 3100 e 3300 estão disponíveis desde abril de 2021; os XGS 4300 e 4500 chegaram em junho do mesmo ano. Esta geração tem agora cerca de cinco anos e meio. Gostaríamos também de ver versões modernizadas do XGS 2100 e de modelos semelhantes com preços mais próximos dos equipamentos existentes.

Um exemplo é a conectividade de série: os XGS 2100 e XGS 2300 não têm 10 GbE integrado; o XGS 3100 já dispõe de duas portas 10 GbE SFP+. Isto é confirmado pelo Quick Start Guide oficial. Até o modelo desktop XGS 138 já inclui duas ligações deste tipo. Nos XGS 2100 e 2300, a expansão com o módulo de quatro portas (XSAZTCHF4) custa mais 1’301,85 EUR sem IVA ao preço de tabela, além dos transceivers. Uma conectividade moderna de série, sem módulo adicional, seria particularmente bem-vinda.

Ao mesmo tempo, a oferta aumenta. Do ponto de vista da nossa consultoria, já existem quase demasiados appliances com utilizações parcialmente sobrepostas. Isso dificulta a decisão dos clientes: que modelo é suficiente hoje, quanta margem é necessária para crescer e quando compensa o próximo salto de preço? Uma gama mais clara, com diferenças de desempenho mais distintas, facilitaria o dimensionamento e o planeamento a longo prazo. A numeração semelhante ajuda apenas em parte, como mostram as comparações de débito.

Para a maioria dos nossos clientes com menos de 100 colaboradores, além do desempenho necessário, o orçamento disponível é decisivo. Só o XGS 2380 começa num preço de tabela de 9’134,66 EUR para o appliance, ao qual acrescem as licenças recorrentes. Mais desempenho é bem-vindo, mas tem de continuar a ser comportável durante a vida útil prevista. Para estes clientes, gostaríamos por isso de novos modelos com interfaces atuais e uma reserva de desempenho adequada também nas gamas de preço mais acessíveis.

Teríamos também apreciado mais tempo para preparar o aconselhamento. Na Avanet, só recebemos as informações técnicas detalhadas e os preços a 4 de novembro de 2026. Em lançamentos anteriores, tivemos acesso à informação mais cedo. Um pouco mais de tempo antes do anúncio público ajudaria a avaliar os modelos e a aconselhar os clientes de forma fundamentada desde o lançamento.

Fontes

• Sophos Firewall Solution Brochure
• Sophos: especificações técnicas dos novos modelos 1U, 3 de novembro de 2026
• Sophos: anúncio do lançamento de produtos de rede