Nya Sophos XGS 1U-brandväggar: jämförelse 2026

Den 4 november 2026 presenterade Sophos flera nyheter: NDR 5500-appliancen för nätverksövervakning, det nya licenspaketet Xstream Plus och slutligen ny XGS-hårdvara med expansionsmoduler (Flexi Port-moduler).

Sophos XGS 2380, 3380, 4580 och 5580 ger mer prestanda för högre krav: större marginal för inspektion av krypterade anslutningar, snabbare nätverksgränssnitt och fler expansionsmöjligheter. Det är ett välkommet tillskott för företag vars nätverk och trafik växer. I den här artikeln jämför vi utrustning och genomströmning med befintliga modeller och visar listpriserna för de nya enheterna och Flexi Port-modulerna.

Den nya XGS-hårdvaran i jämförelse

XGS 2380 och 3380: kort chassi, en CPU

De två mindre enheterna använder en Intel x86-CPU med kärnor reserverade för Xstream FastPath. Någon separat Xstream Flow Processor finns inte. Det korta chassit är 305 mm djupt och passar därför även i rack där det skulle vara svårt att få plats med en större enhet.

XGS 3380 erbjuder större marginal, särskilt för 25 GbE-anslutningar och fler anslutningar. Ett snabbare gränssnitt ökar dock inte i sig prestandan för innehållsinspektion. Den som vill fylla en stor del av en 25 GbE-upplänk med dekrypterad och inspekterad trafik behöver bedöma TLS-värdena separat.

XGS 4580 och 5580: dedikerad nätverksprocessor och SSD-redundans

De större enheterna kombinerar en AMD x86-CPU med en Marvell Octeon CN9670 som Xstream Flow Processor. Båda upptar fortfarande en höjdenhet, men chassit kräver ett djup på 510 mm. Dessutom finns två Flexi Port-platser och två NVMe-SSD:er med mjukvaru-RAID-1.

RAID-1 speglar SSD:erna. Två SSD:er på 512 GB vardera ger alltså inte 1 TB användbart lagringsutrymme. Den nya konstruktionen underlättar service: defekta SSD:er kan bytas på plats genom RMA-processen utan att hela brandväggen skickas tillbaka. SSD:erna kan inte bytas under drift och är inte en lagringsuppgradering som kan beställas separat. Utbyte sker med enheter som Sophos tillhandahåller.

Alla fyra modeller har dessutom en RJ45-hanteringsport, RJ45- och Micro-USB-konsolanslutningar, två USB 3.0-portar på framsidan och en LCD-skärm. Optiska transceivrar säljs separat. Fasta bypass-portpar och PoE ingår inte i dessa modeller.

Brandväggsgenomströmning, Threat Protection och TLS Inspection

Följande tabell återger värdena från Sophos Firewall-broschyren som fanns vid lanseringen. Alla genomströmningsvärden anges i Gbit/s.

Hur mycket snabbare är de nya modellerna?

Vid jämförelsen med befintliga enheter fokuserar vi på Threat Protection och TLS Inspection. Alla värden kommer från samma aktuella Sophos Firewall-broschyr. Tabellen visar den befintliga och den nya genomströmningen i Gbit/s, följt av ökningen jämfört med den befintliga modellen, avrundad till hela procent.

De största ökningarna syns här för XGS 2380 och 3380. För XGS 4580 jämfört med 4500 och XGS 5580 jämfört med 5500 är ökningen betydligt mindre. I den sista jämförelsen ändras även formatet: XGS 5500 upptar två höjdenheter, medan XGS 5580 bara behöver en.

Ökningen beräknas som (nytt värde ÷ befintligt värde − 1) × 100. +300 % innebär fyra gånger så hög genomströmning. Jämförelsen ger sammanhang och pekar inte ut officiella efterföljare eller alternativ i samma prisklass. Det handlar om skillnader mellan tillverkarens laboratorievärden, inte garanterade förbättringar i en befintlig installation.

Vad mätvärdena betyder

Sophos mäter under idealiska laboratorieförhållanden med Keysight-Ixia BreakingPoint. Brandväggs- och IPsec-testerna använder HTTP-svar på 512 KB; IPsec-värdet fördelas över flera tunnlar. IMIX använder en blandning av UDP-paket på 66, 570 och 1518 byte.

Threat Protection omfattar brandvägg, IPS, Application Control och skydd mot skadlig kod med en Enterprise Traffic Mix. NGFW mäts med IPS och Application Control enligt en annan HTTP-testprofil. Därför kan ett Threat Protection-värde vara högre än NGFW- eller IPS-värdet. Siffrorna kommer från olika mätmetoder och kan inte läsas som en enkel serie av kumulativa skyddsnivåer.

TLS Inspection mäts med IPS, HTTPS-anslutningar och olika chiffersviter. I en miljö med mycket krypterad trafik är det värdet oftast mer relevant än ren brandväggsgenomströmning. Paketstorlekar, applikationer, regler, loggning och den verkliga TLS-mixen påverkar resultatet. En stegvis utrullning av TLS-inspektion är viktig även med kraftfull hårdvara.

Värdena är tillverkaruppgifter, inte mätningar från vårt eget testlaboratorium. För XGS 5580 använder vi 58 Gbit/s från den detaljerade broschyren; ett avvikande avrundat lanseringsvärde ersätter inte en modellspecifik mättabell.

Anslutningar och VPN-kapacitet

Antalet tunnlar och VPN-genomströmningen är separata begränsningar. Ett högt maximalt tunnelantal garanterar inte att alla tunnlar kan arbeta med hög bandbredd samtidigt. Vid många korta anslutningar kan antalet nya anslutningar per sekund vara viktigare än den rena bandbredden.

Effektbehov och placering

För alla fyra modeller anger Sophos en drifttemperatur på 0 till 40 °C och en relativ luftfuktighet på 10 till 90 procent, utan kondens. Framför allt de långa modellerna bör placeras i ett lämpligt teknikrum på grund av ljudnivån. Redundanta nätaggregat ger full nytta först med separata strömmatningar; de ersätter inte en andra brandväggsnod.

Nya Flexi Port-moduler för XGS 4580 och 5580

Två nya moduler lanseras tillsammans med enheterna. Kompatibiliteten är modellberoende: modulerna är inte universella tillägg för alla XGS-brandväggar.

40 GbE QSFP+-modulen tillför en snabb anslutning, exempelvis för en lämplig koppling till kärnnätet. Den ökar varken TLS-genomströmningen eller säkerhetsmotorernas prestanda. Optik, utrustningen i andra änden och kablage måste passa den planerade anslutningen.

10 GbE-fiberbypassmodulen ger två LC-fiberportar för en bypassväg. Vid inline-användning måste man i förväg bestämma och testa hur anslutningen ska bete sig vid ett fel. Bypass kan hålla trafiken igång, men trafik som vidarebefordras utan inspektion behåller inte automatiskt sitt tidigare skydd.

De nya modellerna stöder också välkända Flexi Port-alternativ: 8 × 1 GbE koppar, 8 × 1 GbE SFP, 4 × 10 GbE SFP+, 4 × 1 GbE koppar med två bypasspar samt den blandade modulen med 2 × 10 GbE NBASE-T och 2 × 10 GbE SFP+. Befintliga PoE-moduler är inte avsedda för dessa fyra nya modeller.

Listpriser och beställningsstart

De angivna hårdvarupriserna är listpriser i EUR vid lanseringen. Licenser, tillvalsmoduler, transceivrar och tjänster tillkommer separat.

Första beställningsdag är 4 november 2026. Det ska skiljas från lagertillgång och ett bekräftat leveransdatum.

De nya enheterna och Flexi Port-modulerna blir snart tillgängliga i vår butik. Vi lägger till direktlänkar här när produktsidorna är klara. Tills dess ger listpriserna vägledning. Vår separata jämförelse av Xstream Protection och Xstream Plus förklarar vilka löpande tjänster som kan vara relevanta utöver hårdvaruköpet.

Vår bedömning av de nya Sophos XGS-modellerna

Mer prestanda för inspekterad trafik, moderna gränssnitt och nya expansionsmöjligheter: XGS 2380, 3380, 4580 och 5580 är välkomna tillskott. Framför allt XGS 2380 och 3380 visar stora ökningar jämfört med äldre modeller med liknande nummer. Den som behöver prestandan får fler möjligheter att bygga ut sitt nätverk.

Det som enligt oss fortfarande saknas är den sedan länge efterlängtade förnyelsen i det billigare rackmount-segmentet. XGS 2100, 2300, 3100 och 3300 har funnits sedan april 2021; XGS 4300 och 4500 följde i juni samma år. Den här generationen är nu ungefär fem och ett halvt år gammal. Vi hade också velat se moderniserade versioner av XGS 2100 och liknande enheter, med priser närmare de befintliga modellerna.

Ett exempel är nätverksanslutningarna som ingår: XGS 2100 och XGS 2300 saknar inbyggt 10 GbE; XGS 3100 har redan två 10 GbE SFP+-portar. Det framgår av den officiella Quick Start Guide. Även skrivbordsmodellen XGS 138 har numera två sådana anslutningar. För XGS 2100 och 2300 kostar uppgraderingen med fyrportsmodulen (XSAZTCHF4) ytterligare 1’301,85 EUR exklusive moms enligt prislistan, plus transceivrar. Moderna standardanslutningar utan extra modul skulle vara särskilt välkomna här.

Samtidigt växer utbudet. Utifrån vår rådgivning finns det nu nästan för många enheter med delvis överlappande användningsområden. Det gör beslutet svårare för kunderna: vilken modell räcker i dag, hur stor marginal behövs för tillväxt och när är nästa prissteg motiverat? Ett tydligare utbud med större prestandaskillnader skulle underlätta dimensionering och långsiktig planering. Liknande modellnummer hjälper bara delvis, vilket jämförelserna av genomströmning visar.

För de flesta av våra kunder med färre än 100 medarbetare är den tillgängliga budgeten avgörande, utöver den prestanda som behövs. XGS 2380 börjar redan på ett listpris på 9’134,66 EUR för själva enheten; löpande licenser tillkommer. Mer prestanda är välkommet, men kostnaden måste vara rimlig under hela den planerade användningstiden. För dessa kunder önskar vi därför nya modeller med aktuella gränssnitt och lämpliga prestandareserver även i det lägre prissegmentet.

Vi hade också uppskattat mer förberedelsetid för rådgivningen. På Avanet fick vi den detaljerade tekniska informationen och priserna först den 4 november 2026. Vid tidigare produktlanseringar har vi fått tillgång till information tidigare. Lite mer tid före den offentliga lanseringen skulle hjälpa oss att bedöma modellerna och ge kunderna välgrundade råd redan från start.

Källor

• Sophos Firewall Solution Brochure
• Sophos: tekniska specifikationer för de nya 1U-modellerna, 3 november 2026
• Sophos: tillkännagivande av nätverkslanseringen