Novos Sophos XGS: mais desempenho, mas a que preço?

A abertura das encomendas de quatro novas firewalls Sophos está prevista para quarta-feira, 4 de novembro de 2026: XGS 2380, XGS 3380, XGS 4580 e XGS 5580. No papel, oferecem bastante mais desempenho. Chega também outro pacote de licenças: Xstream Protection Plus, igualmente chamado Xstream Plus.

Interesso-me sobretudo por três questões: quanto custarão os equipamentos, quanto custarão as subscrições e se a conectividade integrada corresponderá finalmente ao que espero de uma nova firewall de rack em 2026.

A Sophos tem ficado cada vez mais cara. No meu contexto profissional, vi pequenas empresas procurar alternativas ou escolher outra solução. Com um aumento acumulado de 21% nos preços de tabela XGS abrangidos só este ano, compreendo bem essa decisão.

Análise preliminar em 1 de novembro de 2026: não testei estes equipamentos. A data prevista para encomendas não confirma a entrega. Os valores seguintes vêm do documento Sophos fornecido e são provisórios. O documento destina-se a uso interno e de parceiros e apresenta a data posterior de 28 de novembro de 2026; estes valores ainda aguardam confirmação pública.

Quatro novos modelos com grandes aumentos de desempenho

Os equipamentos abrangem várias categorias. Destaca-se o XGS 2380: com 23,3 Gbit/s de Threat Protection e 8 Gbit/s de inspeção TLS, a tabela fornecida coloca-o bastante acima dos atuais XGS 2300 e XGS 3300.

O XGS 3380 surge com 32 Gbit/s de Threat Protection, o XGS 4580 com 45 e o XGS 5580 com 58 Gbit/s. Os quatro modelos são apresentados como equipamentos de rack de 1U. É particularmente interessante no XGS 5580: o antigo XGS 5500 ocupa duas unidades.

Resta perceber o resultado na utilização diária. Um número numa ficha técnica diz pouco sobre a margem disponível com as minhas regras, ligações cifradas, VPN e funções de proteção ativas.

A tabela de desempenho

Reproduzo a tabela dos modelos de rack do documento fornecido num formato legível. Os novos modelos estão a negrito. Todos os débitos estão em Gbit/s.

Alguns valores dos modelos existentes diferem de fichas públicas anteriores. Reproduzi deliberadamente a tabela deste documento, sem misturar revisões. Não especifica a versão do software, as condições detalhadas de medição nem um teste comum reproduzível. Os números não garantem, portanto, débito real nem relações comparativas fiáveis.

No dimensionamento, olharia sobretudo para Threat Protection e inspeção TLS. Um débito de firewall de 105 Gbit/s ajuda pouco se o tráfego cifrado inspecionado for o estrangulamento real. O número máximo de portas também não revela a sua velocidade.

O 10 Gigabit deveria vir integrado

A configuração exata das interfaces continua em aberto para mim. Doze portas não esclarecem se duas, quatro ou nenhuma suportam 10 Gigabit.

A minha expectativa é clara: os quatro novos modelos de rack deveriam incluir 10GbE. O mais pequeno XGS 138 já tem duas portas 10 GE SFP+ integradas.

Nos XGS 2100 e XGS 2300 é necessário um módulo Flexi-Port opcional para 10GbE. Segundo os preços que conheci, pode significar mais de 1.200 dólares americanos adicionais. É a minha experiência anterior, não uma proposta atual verificada para uma referência, região ou base fiscal específica. Ainda assim, seria difícil justificar a repetição dessa abordagem em hardware novo.

A FortiGate 90G, por exemplo, integra dois grupos de interfaces 10GbE de meio partilhado RJ45/SFP+. Só uma tomada de cada grupo pode ser usada de cada vez; não são quatro portas 10G independentes. Comparo aqui conectividade integrada, não desempenho de proteção equivalente nem todos os preços.

Alargamento da gama ou substituição gradual?

Segundo a posição comunicada até agora pela Sophos, os modelos alargam a gama. Não são sucessores diretos de equipamentos específicos; os existentes devem continuar disponíveis, sem alterações ao ciclo de vida decorrentes deste anúncio.

Aceito essa declaração tal como é apresentada. A minha expectativa para os passos seguintes é diferente.

O XGS 2100 pertence aos modelos 2xxx disponíveis desde 21 de abril de 2021. Em 4 de novembro de 2026, data prevista para as encomendas, terá pouco mais de cinco anos e meio. Com equipamentos bastante mais rápidos ao lado, vender o stock restante será mais difícil.

A minha suspeita: ambas as gamas coexistirão inicialmente, o stock diminuirá e depois alguns modelos antigos chegarão ao fim de venda. Corresponderia ao padrão que reconheço de anteriores mudanças de geração Sophos. É a minha avaliação, não um plano confirmado nem um fim de venda anunciado para o XGS 2100. O fim de venda também não significaria o fim imediato do suporte.

Os preços do hardware e das subscrições decidirão o valor

Mais desempenho é bem-vindo. A vantagem económica depende do custo total do equipamento, módulos necessários, pacote de proteção e renovações posteriores.

Foram comunicados dois aumentos de 10% em 2026 para as referências XGS abrangidas: o primeiro em 1 de julho e o segundo em 1 de novembro para as ofertas a prazo relevantes. Juntos dão 1,10 × 1,10 = 1,21, ou 21%. Uma referência antes a 1.000 passa a 1.210 na mesma base. Descontos, moedas e contratos podem alterar a fatura real; não se aplica indistintamente a todos os produtos Sophos ou modelos de faturação.

Preocupam-me sobretudo os custos recorrentes: uma firewall já comprada não se transforma noutro equipamento quando a subscrição é renovada.

As pequenas empresas têm orçamentos limitados. Quando as renovações ficam cada vez mais caras, considerar alternativas é razoável. Um equipamento mais rápido dificilmente resolverá isso se as licenças continuarem também a subir.

Comparação entre Xstream Protection e Xstream Plus

Juntamente com o hardware chega Xstream Protection Plus. Acrescenta ao pacote Xstream Workspace Protection, maior retenção dos relatórios e Enhanced Plus Support. A Sophos inclui-o nas diretrizes públicas de licenciamento, em vigor desde 16 de outubro de 2026.

A tabela reproduz o âmbito da descrição das licenças fornecida. A Base License é a base técnica e está incluída no hardware; não substitui um pacote de proteção completo.

A retenção depende do armazenamento disponível e do volume de dados. «Até um ano» não garante um ano completo para qualquer tráfego. O número de utilizadores Workspace de cada novo modelo deve ser confirmado na proposta.

Workspace Protection inclui Protected Browser, ZTNA, DNS Protection para endpoints e Email Monitoring System. Este sistema de monitorização é diferente do Email Protection na firewall. O suporte de feeds MDR também não inclui um serviço MDR gerido.

Quantas licenças Workspace estão incluídas?

As diretrizes públicas indicam estas quotas para os modelos XGS existentes. A última coluna conta licenças de armazenamento CFR, não gigabytes.

Os novos 2380, 3380, 4580 e 5580 ainda não constam da tabela. Não se podem deduzir as suas quotas destes escalões.

Workspace usa a maior contagem entre utilizadores autenticados do navegador, utilizadores autenticados ZTNA e instalações do agente DNS. A Sophos define 15.000 consultas por utilizador e dia para o agente DNS e uma transferência média de 15 GB por utilizador e mês no modo gateway ZTNA cloud. Uma firewall maior não significa utilização ilimitada de Workspace.

Para mim, Plus parece sobretudo uma forma de vender Workspace

Tenho a impressão de que a Sophos quer vender Workspace Protection através da subscrição da firewall. Na minha experiência, a procura pelo pacote isolado é limitada. É uma observação do meu contexto, não uma afirmação sobre as vendas mundiais da Sophos.

Um navegador protegido pode ser útil para aplicações específicas, prestadores externos ou acessos controlados. Pessoalmente, acho-o um motivo pouco interessante para subir de licença da firewall. Quem já gere bem navegadores e dispositivos precisa de uma vantagem concreta para mudar.

Para proteção DNS, avaliaria DNSFilter como alternativa independente. O filtro da rede e as políticas para dispositivos fora do escritório são utilizações explícitas. Para uma empresa centrada nesse problema, considero muitas vezes mais adequada uma solução especializada. Não afirmo taxas de deteção universalmente superiores.

Para acesso Zero Trust, preferiria Tailscale, Twingate ou Cloudflare Access, conforme a tarefa. Tailscale interessa-me sobretudo para ligar locais empresariais, servidores e equipas móveis com regras baseadas na identidade. Twingate orienta o acesso para recursos privados. Cloudflare Access oferece políticas por aplicação dentro de Cloudflare One. As arquiteturas diferem; uma rede mesh e um proxy de aplicações não são intercambiáveis.

Na minha opinião, a UniFi também foi subestimada durante muito tempo como opção empresarial. Avalio por isso funções, operação e requisitos reais. A facilidade de utilização ou a popularidade entre particulares diz pouco sobre a adequação a uma empresa.

A minha preferência diz respeito à arquitetura e à operação. Baseia-se aqui no funcionamento documentado e na minha avaliação, não num novo teste comparativo comum destes produtos.

O problema do pacote é simples: se uma empresa já tem boa proteção DNS e acesso remoto, novas licenças Workspace criam inicialmente sobreposições. A dimensão da firewall também determina os utilizadores incluídos, apesar de o débito necessário e o número de trabalhadores serem critérios diferentes.

Uma retenção maior dos relatórios e Enhanced Plus Support podem, ainda assim, ter valor real. Só quero saber o acréscimo e se preciso realmente das licenças de utilizador incluídas.

O que vou observar na quarta-feira

Os valores tornam estes XGS interessantes. Mais capacidade de proteção numa só unidade de rack pode ser atrativa para novos projetos.

Para uma avaliação firme faltam preços do hardware, subscrições novas e renovações, portas exatas e quotas Workspace. Também conta a disponibilidade real depois da abertura das encomendas.

As minhas expectativas são modestas: conectividade atual sem módulos obrigatórios caros, licenças compreensíveis e um pacote adaptado à empresa. Depois das subidas deste ano, a nova geração ainda tem de provar o seu valor económico. Mais débito, por si só, não me basta.

Até à próxima,
Joe