Nuovi Sophos XGS: più prestazioni, ma a quale prezzo?

L’apertura degli ordini per quattro nuovi firewall Sophos è prevista per mercoledì 4 novembre 2026: XGS 2380, XGS 3380, XGS 4580 e XGS 5580. Sulla carta offrono prestazioni nettamente superiori. Arriva anche un altro pacchetto di licenze: Xstream Protection Plus, chiamato anche Xstream Plus.

Mi interessano soprattutto tre cose: quanto costeranno le appliance, quanto costeranno gli abbonamenti e se la connettività integrata sarà finalmente all’altezza di ciò che mi aspetto da un nuovo firewall rack nel 2026.

Negli ultimi anni Sophos è diventata sempre più cara. Nel mio ambiente professionale ho visto piccole imprese cercare alternative o scegliere un’altra soluzione. Con un aumento cumulato del 21% dei prezzi di listino XGS interessati solo quest’anno, capisco benissimo questa decisione.

Prima valutazione al 1° novembre 2026: non ho provato queste appliance. L’apertura prevista degli ordini non conferma una data di consegna. I dati seguenti provengono dal documento Sophos fornito e sono preliminari. Il documento è riservato all’uso interno e ai partner e riporta la data successiva del 28 novembre 2026; i valori attendono ancora conferma pubblica.

Quattro nuovi modelli con forti aumenti di prestazioni

I nuovi dispositivi coprono diverse fasce. Spicca l’XGS 2380: con 23,3 Gbit/s di Threat Protection e 8 Gbit/s di ispezione TLS, la panoramica fornita lo colloca ben oltre gli attuali XGS 2300 e XGS 3300.

L’XGS 3380 è indicato a 32 Gbit/s di Threat Protection, l’XGS 4580 a 45 e l’XGS 5580 a 58 Gbit/s. Tutti e quattro sono elencati come appliance rack 1U. È particolarmente interessante per l’XGS 5580: il vecchio XGS 5500 occupa due unità rack.

Resta da vedere cosa significhi nell’uso quotidiano. Un dato di scheda tecnica dice poco sul margine disponibile con le mie regole, connessioni cifrate, VPN e funzioni di protezione attive.

La tabella delle prestazioni

Riproduco qui la tabella dei modelli rack del documento fornito in forma leggibile. I nuovi modelli sono in grassetto. Tutti i valori di throughput sono in Gbit/s.

Alcuni valori dei modelli esistenti differiscono dalle vecchie schede pubbliche. Ho ripreso deliberatamente la tabella di un solo documento, senza mescolare revisioni. Non sono specificati versione software, condizioni dettagliate di misura o un test comune riproducibile. Le cifre non garantiscono quindi throughput reale né rapporti di prestazioni comparabili affidabili.

Per il dimensionamento guarderei soprattutto Threat Protection e ispezione TLS. Un throughput firewall di 105 Gbit/s serve poco se il collo di bottiglia è il traffico cifrato ispezionato. Nemmeno il numero massimo di porte ne indica la velocità.

Il 10 Gigabit dovrebbe essere integrato

La configurazione esatta delle interfacce resta per me aperta. Dodici porte non dicono se due, quattro o nessuna supportino 10 Gigabit.

La mia aspettativa è chiara: tutti e quattro i nuovi modelli rack dovrebbero avere 10GbE integrato. Il più piccolo XGS 138 dispone già di due porte 10 GE SFP+ integrate.

XGS 2100 e XGS 2300 richiedono invece un modulo Flexi-Port opzionale per 10GbE. Secondo i prezzi che ho incontrato, può significare oltre 1.200 dollari USA in più. È la mia esperienza di prezzo passata, non un’offerta attuale verificata per uno specifico codice, mercato o trattamento fiscale. Ripetere questo approccio su hardware nuovo mi sembrerebbe comunque difficile da giustificare.

Il FortiGate 90G, per esempio, integra due gruppi di interfacce 10GbE a supporto condiviso RJ45/SFP+. Si può usare una sola presa per gruppo alla volta; non sono quattro porte 10G indipendenti. Confronto qui la connettività integrata, non prestazioni di protezione equivalenti o tutti i costi.

Ampliamento della gamma o sostituzione graduale?

Secondo quanto comunicato finora da Sophos, i nuovi modelli ampliano la gamma. Non sono successori diretti di appliance specifiche; i modelli esistenti restano disponibili e l’annuncio non modifica le relative scadenze del ciclo di vita.

Prendo atto della dichiarazione. La mia aspettativa per il seguito è però diversa.

L’XGS 2100 appartiene ai modelli 2xxx disponibili dal 21 aprile 2021. Alla prevista apertura degli ordini del 4 novembre 2026 avrà quindi poco più di cinque anni e mezzo. Con dispositivi molto più veloci accanto, vendere le scorte residue diventerà più difficile.

La mia ipotesi è che inizialmente le due gamme coesistano, si smaltiscano le scorte e in seguito alcuni vecchi modelli arrivino a fine vendita. Corrisponderebbe al modello che riconosco dai precedenti ricambi generazionali Sophos. È una mia valutazione, non una roadmap confermata né una fine vendita annunciata per l’XGS 2100. Fine vendita non significherebbe neppure cessazione immediata del supporto.

Prezzi di hardware e abbonamenti determineranno la convenienza

Più prestazioni sono benvenute. La convenienza dipende però dal costo complessivo dell’appliance, dei moduli necessari, del pacchetto di protezione e dei rinnovi.

Per le voci XGS interessate sono stati comunicati due aumenti del 10% nel 2026: il primo dal 1° luglio e il secondo dal 1° novembre per le relative offerte a durata determinata. Insieme fanno 1,10 × 1,10 = 1,21, cioè 21%. Una voce di listino prima a 1.000 passa a 1.210 sulla stessa base. Sconti, valute e condizioni contrattuali possono modificare la fattura; non vale indistintamente per ogni prodotto Sophos o modello di fatturazione.

Mi preoccupano soprattutto i costi ricorrenti: un firewall già acquistato non diventa un dispositivo diverso quando si rinnova l’abbonamento.

Le piccole imprese hanno budget limitati. Se i rinnovi costano sempre di più, considerare alternative è ragionevole. Un’appliance più veloce difficilmente risolverà il problema se anche le licenze continuano a salire.

Xstream Protection e Xstream Plus a confronto

Insieme all’hardware arriva Xstream Protection Plus. Amplia il pacchetto Xstream con Workspace Protection, maggiore conservazione dei report ed Enhanced Plus Support. Sophos lo elenca nelle linee guida pubbliche sulle licenze, in vigore dal 16 ottobre 2026.

La tabella riproduce l’ambito della panoramica delle licenze fornita. La Base License è il fondamento tecnico ed è inclusa nell’hardware; non sostituisce un pacchetto completo di protezione.

La conservazione dipende dallo spazio disponibile e dal volume dei dati. «Fino a un anno» non garantisce un anno intero per qualsiasi traffico. Il numero di utenti Workspace di ciascun nuovo modello va confermato nel preventivo.

Workspace Protection comprende Protected Browser, ZTNA, DNS Protection per gli endpoint ed Email Monitoring System. Il sistema di monitoraggio è distinto da Email Protection sul firewall. Anche il supporto ai feed MDR non include un servizio MDR gestito.

Quante licenze Workspace sono incluse?

Le linee guida pubbliche specificano queste quote per gli XGS esistenti. L’ultima colonna conta licenze di archiviazione CFR, non gigabyte.

I nuovi 2380, 3380, 4580 e 5580 non sono ancora elencati. Le loro quote non si possono dedurre da queste fasce.

Workspace considera il numero più alto tra utenti autenticati del browser, utenti autenticati ZTNA e installazioni dell’agente DNS. Sophos indica 15.000 query per utente al giorno per l’agente DNS e un trasferimento medio di 15 GB per utente al mese nella modalità gateway ZTNA cloud. Un firewall più grande non significa dunque uso illimitato di Workspace.

Per me Plus sembra soprattutto un modo per vendere Workspace

Ho l’impressione che Sophos voglia vendere Workspace Protection tramite l’abbonamento del firewall. Nella mia esperienza la richiesta del pacchetto autonomo è limitata. È un’osservazione del mio ambiente, non un’affermazione sulle vendite globali di Sophos.

Un browser protetto può servire per applicazioni specifiche, collaboratori esterni o accessi controllati. Personalmente lo trovo poco interessante come motivo per aumentare la licenza del firewall. Chi gestisce già bene browser e dispositivi ha bisogno di un beneficio concreto per cambiare impostazione.

Per la protezione DNS valuterei DNSFilter come alternativa indipendente. Il filtraggio della rete e le policy per dispositivi fuori ufficio sono casi d’uso espliciti. Per un’azienda concentrata su quel problema, spesso ritengo più adatto l’approccio specializzato. Non sto affermando tassi di rilevamento universalmente migliori.

Per l’accesso Zero Trust preferirei Tailscale, Twingate o Cloudflare Access, secondo il compito. Tailscale mi interessa soprattutto per collegare sedi aziendali, server e team mobili con regole basate sull’identità. Twingate orienta l’accesso verso risorse private. Cloudflare Access offre policy per applicazione in Cloudflare One. Le architetture differiscono; una rete mesh e un proxy applicativo non sono intercambiabili.

A mio avviso anche UniFi è stato a lungo sottovalutato come soluzione aziendale. Valuto quindi funzioni, gestione e requisiti reali. La semplicità o la popolarità tra utenti domestici dicono poco sull’idoneità per un’azienda.

La mia preferenza riguarda architettura e gestione. Qui si basa sul funzionamento documentato e sulla mia valutazione, non su un nuovo test comparativo comune di questi prodotti.

Il problema del bundle è semplice: se un’azienda ha già una buona protezione DNS e un accesso remoto soddisfacente, altre licenze Workspace inizialmente creano sovrapposizioni. Inoltre la dimensione del firewall determina gli utenti inclusi, benché throughput e numero di dipendenti siano criteri diversi.

Una conservazione più lunga dei report ed Enhanced Plus Support possono comunque avere valore reale. Voglio solo sapere il sovrapprezzo e se mi servono davvero le licenze utente incluse.

Cosa guarderò mercoledì

Le prestazioni rendono interessanti questi XGS. Una maggiore capacità di protezione in una sola unità rack può attrarre nei nuovi progetti.

Per un giudizio solido mi mancano prezzi hardware, abbonamenti nuovi e rinnovi, porte esatte e quote Workspace dei nuovi modelli. Conta anche la disponibilità reale dopo l’apertura degli ordini.

Le mie aspettative verso Sophos sono modeste: connettività attuale senza costosi moduli obbligatori, costi di licenza comprensibili e un pacchetto adatto all’azienda. Dopo gli aumenti di quest’anno, la nuova generazione deve ancora dimostrare la convenienza. Più throughput da solo non mi basta.

Alla prossima,
Joe