Nuevos Sophos XGS: más rendimiento, ¿pero a qué precio?

La apertura de pedidos de cuatro nuevos firewalls Sophos está prevista para el miércoles 4 de noviembre de 2026: XGS 2380, XGS 3380, XGS 4580 y XGS 5580. Sobre el papel ofrecen bastante más rendimiento. También llega otro paquete de licencias: Xstream Protection Plus, llamado asimismo Xstream Plus.

Me interesan especialmente tres cuestiones: cuánto costarán los equipos, cuánto costarán sus suscripciones y si la conectividad integrada estará por fin a la altura de lo que espero de un nuevo firewall de rack en 2026.

Sophos se ha encarecido en los últimos años. En mi entorno profesional he visto pequeñas empresas buscar alternativas o elegir otra solución. Con una subida acumulada del 21 % en los precios de catálogo XGS afectados solo este año, entiendo perfectamente esa decisión.

Análisis previo, a 1 de noviembre de 2026: no he probado estos equipos. El inicio previsto de los pedidos no confirma una fecha de entrega. Los datos siguientes proceden del documento Sophos facilitado y son provisionales. Está marcado para uso interno y de socios y lleva la fecha posterior del 28 de noviembre de 2026; estos valores aún necesitan confirmación pública.

Cuatro modelos nuevos con grandes mejoras de rendimiento

Los equipos cubren varias categorías de rendimiento. Destaca el XGS 2380: con 23,3 Gbit/s en Threat Protection y 8 Gbit/s en inspección TLS, la tabla facilitada lo sitúa muy por encima de los actuales XGS 2300 y XGS 3300.

El XGS 3380 figura con 32 Gbit/s en Threat Protection, el XGS 4580 con 45 y el XGS 5580 con 58 Gbit/s. Los cuatro nuevos modelos se presentan como equipos de rack de 1U. Es especialmente interesante en el XGS 5580: el antiguo XGS 5500 ocupa dos unidades.

Falta ver cómo se traduce esto al uso diario. Una cifra de ficha técnica dice poco sobre el margen disponible con mis reglas, conexiones cifradas, VPN y funciones de protección activadas.

La tabla de rendimiento

Reproduzco la tabla de los modelos de rack del documento facilitado en un formato legible. Los modelos nuevos aparecen en negrita. Todos los caudales se expresan en Gbit/s.

Algunos valores de los modelos existentes difieren de fichas públicas anteriores. He reproducido deliberadamente la tabla de este documento, sin mezclar revisiones. No detalla la versión del software, las condiciones de medición ni una prueba común reproducible. Las cifras no garantizan un caudal real ni permiten establecer relaciones comparativas fiables.

Para dimensionar me fijaría sobre todo en Threat Protection e inspección TLS. Un caudal de firewall de 105 Gbit/s ayuda poco si el cuello de botella es el tráfico cifrado inspeccionado. El número máximo de puertos tampoco indica sus velocidades.

Los 10 Gigabit deberían venir integrados

La configuración exacta de interfaces sigue siendo una incógnita para mí. Doce puertos no aclaran si dos, cuatro o ninguno admiten 10 Gigabit.

Mi expectativa es clara: los cuatro modelos nuevos de rack deberían incorporar 10GbE. El XGS 138, más pequeño, ya incluye dos puertos 10 GE SFP+.

Los XGS 2100 y XGS 2300, en cambio, necesitan un módulo Flexi-Port opcional para 10GbE. Según los precios que he conocido, eso puede suponer más de 1.200 dólares estadounidenses adicionales. Es mi experiencia previa, no una oferta actual verificada para una referencia, región o base fiscal concreta. Aun así, me costaría justificar repetir ese enfoque en equipos nuevos.

El FortiGate 90G, por ejemplo, incorpora dos grupos de interfaces 10GbE de medio compartido RJ45/SFP+. Solo se puede usar un conector de cada grupo a la vez; no son cuatro puertos 10G independientes. Comparo aquí la conectividad integrada, no una protección equivalente ni todos los costes.

¿Ampliación de gama o sustitución gradual?

Según la postura comunicada hasta ahora por Sophos, los modelos amplían la gama. No son sucesores directos de equipos concretos; los existentes seguirán disponibles y el anuncio no modifica sus fechas de ciclo de vida.

Tomo esa declaración tal como está. Mi expectativa sobre lo que vendrá después es distinta.

El XGS 2100 pertenece a los modelos 2xxx disponibles desde el 21 de abril de 2021. El 4 de noviembre de 2026, fecha prevista para abrir pedidos, tendrá algo más de cinco años y medio. Con equipos bastante más rápidos al lado, vender las existencias restantes será cada vez más difícil.

Mi sospecha: primero coexistirán ambas gamas, se reducirá el inventario y después algunos modelos antiguos llegarán al fin de venta. Encajaría con el patrón que conozco de anteriores cambios generacionales de Sophos. Es mi valoración, no una hoja de ruta confirmada ni un fin de venta anunciado para el XGS 2100. El fin de venta tampoco equivaldría al cese inmediato del soporte.

El precio del equipo y las suscripciones decidirá su valor

Más rendimiento es bienvenido. Su interés económico depende del coste total del equipo, los módulos necesarios, el paquete de protección y las renovaciones posteriores.

En 2026 se comunicaron dos subidas del 10 % para los artículos XGS afectados: una desde el 1 de julio y otra desde el 1 de noviembre para las ofertas de duración determinada correspondientes. Juntas dan 1,10 × 1,10 = 1,21, es decir, 21 %. Una referencia de catálogo que costaba 1.000 pasa a 1.210 sobre la misma base. Descuentos, monedas y condiciones contractuales pueden modificar la factura; no afecta indistintamente a todos los productos Sophos ni a todos los modelos de facturación.

Me preocupan especialmente los costes recurrentes: un firewall ya comprado no se convierte en otro aparato al renovar la suscripción.

Las pequeñas empresas tienen presupuestos limitados. Si las renovaciones siguen encareciéndose, buscar alternativas es razonable. Un aparato más rápido difícilmente resolverá el problema si las licencias también continúan subiendo.

Comparación de Xstream Protection y Xstream Plus

Junto al hardware llega Xstream Protection Plus. Amplía Xstream con Workspace Protection, mayor retención de informes y Enhanced Plus Support. Sophos lo incluye en sus directrices públicas de licencias, vigentes desde el 16 de octubre de 2026.

Esta tabla reproduce el alcance de la descripción de licencias facilitada. La Base License es la base técnica y viene con el hardware; no sustituye a un paquete completo de protección.

La retención depende del almacenamiento y del volumen de datos. «Hasta un año» no garantiza un año completo con cualquier tráfico. La cantidad de usuarios Workspace de cada nuevo modelo debe confirmarse en la oferta.

Workspace Protection incluye Protected Browser, ZTNA, DNS Protection para endpoints y Email Monitoring System. Ese sistema de monitorización es distinto de Email Protection en el firewall. Admitir fuentes de amenazas MDR tampoco incluye un servicio MDR gestionado.

¿Cuántas licencias Workspace se incluyen?

Las directrices públicas especifican estos cupos para los XGS actuales. La última columna cuenta licencias de almacenamiento CFR, no gigabytes.

Los nuevos 2380, 3380, 4580 y 5580 aún no aparecen. No se pueden deducir sus cupos a partir de estos niveles.

Workspace toma la cifra más alta entre usuarios autenticados del navegador, usuarios autenticados de ZTNA e instalaciones del agente DNS. Sophos establece 15.000 consultas por usuario y día para el agente DNS y un promedio de 15 GB por usuario y mes en el modo de pasarela ZTNA en la nube. Un firewall mayor no implica un uso ilimitado de Workspace.

Para mí, Plus parece sobre todo una vía para vender Workspace

Mi impresión es que Sophos quiere vender Workspace Protection mediante la suscripción del firewall. Según mi experiencia, la demanda del paquete por separado es escasa. Es una observación de mi entorno, no una afirmación sobre las ventas globales de Sophos.

Un navegador protegido puede servir para aplicaciones concretas, colaboradores externos o accesos controlados. Personalmente me parece un incentivo poco atractivo para mejorar la licencia del firewall. Quien ya gestiona bien sus navegadores y dispositivos necesita un beneficio concreto que justifique el cambio.

Para protección DNS estudiaría DNSFilter como alternativa independiente. El filtrado de red y las políticas para dispositivos fuera de la oficina son usos explícitos. Para una empresa centrada en ese problema, suelo considerar más adecuado un enfoque especializado. Eso no equivale a afirmar mejores tasas de detección de forma general.

Para acceso Zero Trust preferiría Tailscale, Twingate o Cloudflare Access, según la tarea. Tailscale me interesa especialmente para conectar sedes empresariales, servidores y equipos móviles mediante reglas basadas en identidad. Twingate orienta el acceso a recursos privados. Cloudflare Access ofrece políticas por aplicación dentro de Cloudflare One. Sus arquitecturas difieren; una red mallada y un proxy de aplicaciones no son intercambiables.

En mi opinión, también se subestimó durante mucho tiempo la utilidad de UniFi para empresas. Por eso valoro estas soluciones por sus funciones, su operación y los requisitos reales. La facilidad de uso o su popularidad entre particulares dice poco sobre su adecuación empresarial.

Mi preferencia se refiere a la arquitectura y la operación. Aquí se basa en el funcionamiento documentado y mi análisis, no en una nueva prueba comparativa común de esos productos.

El problema del paquete me resulta sencillo: si una empresa ya dispone de DNS y acceso remoto satisfactorios, las licencias Workspace adicionales generan inicialmente duplicidades. Además, el tamaño del firewall determina los usuarios incluidos, aunque el caudal necesario y la plantilla sean criterios distintos.

Una mayor retención de informes y Enhanced Plus Support pueden aportar valor real. Solo quiero saber el sobreprecio y si realmente necesito las licencias de usuario incluidas.

En qué me fijaré el miércoles

Las cifras hacen interesantes estos XGS. Más capacidad de protección en una sola unidad de rack puede resultar atractiva para nuevos despliegues.

Para una valoración firme faltan precios concretos de hardware, suscripciones nuevas y renovaciones, configuración exacta de puertos y cupos Workspace. También importa la disponibilidad real tras abrir los pedidos.

Mis expectativas de Sophos son modestas: conectividad actual sin módulos obligatorios caros, licencias comprensibles y un paquete ajustado a las necesidades empresariales. Tras las subidas de este año, la nueva generación debe demostrar su valor económico. Más caudal no me basta.

Hasta la próxima,
Joe