全新 Sophos XGS：性能提升，但价格呢？
Sophos Security Network目录
四款全新 Sophos 防火墙预计于 2026 年 11 月 4 日星期三开放订购：XGS 2380、XGS 3380、XGS 4580 和 XGS 5580。从规格来看，性能提升相当明显。同时还有一个新的许可套餐：Xstream Protection Plus，也称 Xstream Plus。
我最关心三个问题：设备卖多少钱？持续订阅要多少钱？内置接口是否终于符合我对 2026 年新款机架式防火墙的期待？
过去几年，Sophos 的价格不断上涨。在工作中，我看到一些小企业寻找替代方案，或已经转向其他产品。考虑到仅今年，受影响的 XGS 目录价格就累计上涨了 21%，我非常理解这种选择。
截至 2026 年 11 月 1 日的前瞻分析：我尚未测试这些设备。计划开始订购的日期不代表已经确认的交付日期。下方性能数据来自提供的 Sophos 资料，属于初步数据。资料标注仅供内部及合作伙伴使用，并注明了晚于当前日期的 2026 年 11 月 28 日；表中数值仍待公开确认。
四款新型号，性能大幅提升
新设备覆盖多个性能档位。XGS 2380 尤其突出：资料中列出的 Threat Protection 吞吐量为 23.3 Gbps，TLS 检查为 8 Gbps，明显高于现有 XGS 2300 和 XGS 3300。
XGS 3380 的 Threat Protection 为 32 Gbps，XGS 4580 为 45 Gbps，XGS 5580 为 58 Gbps。四款新型号均列为 1U 机架式设备。这让 XGS 5580 特别值得关注，因为老款 XGS 5500 占用 2U 空间。
实际运行表现如何，还需要验证。规格表上的数字，无法说明在我的真实规则、加密连接、VPN 和已启用防护功能下，还剩多少性能余量。
性能表
下面将所提供资料中的机架式型号表重现为易读的表格。新型号以粗体标出。 所有吞吐量单位均为 Gbps。
| 型号 | 外形 | 固定端口 / 扩展槽 | 含模块的最大端口数 | 防火墙 | Threat Protection | Xstream SSL/TLS |
|---|---|---|---|---|---|---|
| XGS 2100 | 1U | 10 / 1 | 18 | 30 | 5.6 | 2.0 |
| XGS 2300 | 1U | 10 / 1 | 18 | 39 | 5.9 | 2.1 |
| XGS 3100 | 1U | 12 / 1 | 20 | 47 | 8.3 | 3.2 |
| XGS 3300 | 1U | 12 / 1 | 20 | 58 | 12 | 3.7 |
| XGS 2380 | 1U | 12 / 1 | 20 | 59.8 | 23.3 | 8.0 |
| XGS 4300 | 1U | 12 / 2 | 28 | 75 | 28 | 9.0 |
| XGS 3380 | 1U | 12 / 1 | 20 | 80 | 32 | 9.5 |
| XGS 4500 | 1U | 12 / 2 | 28 | 80 | 34.75 | 10.6 |
| XGS 4580 | 1U | 12 / 2 | 28 | 105 | 45 | 12 |
| XGS 5580 | 1U | 12 / 2 | 28 | 112.5 | 58 | 16.0 |
| XGS 5500 | 2U | 16 / 3 | 48 | 110 | 46 | 13.5 |
| XGS 6500 | 2U | 20 / 4 | 68 | 120 | 60 | 18.1 |
| XGS 7500 | 2U | 22 / 4 | 70 | 160 | 70 | 19.5 |
| XGS 8500 | 2U | 22 / 4 | 70 | 190 | 92.5 | 24 |
现有型号的部分数字与较早的公开规格不同。我刻意采用同一份资料的完整表格，没有混用不同版本。资料未注明软件版本、详细测试条件或可复现的统一测试方法。因此，这些数字既不保证实际吞吐量，也不能据此计算可靠的性能对比倍数。
选型时，我主要关注 Threat Protection 和 TLS 检查。如果瓶颈是需要检查的加密流量，105 Gbps 的纯防火墙吞吐量意义就很有限。最大端口数也不能说明端口速度。
10 Gigabit 应该直接内置
新设备的确切接口配置，对我而言仍不明确。12 个端口，并不能回答其中有两个、四个还是没有任何一个支持 10 Gigabit。
我的期待很直接：四款全新机架型号都应该内置 10GbE。 更小的 XGS 138 已经配备两个内置 10 GE SFP+ 端口。
相比之下，XGS 2100 和 XGS 2300 需要通过可选 Flexi-Port 模块获得 10GbE。根据我过去见过的价格，这可能意味着额外支付超过 1,200 美元。这是以往的价格经验，并非针对特定 SKU、地区或税务条件核实过的最新报价。但如果新硬件还沿用这一做法，我仍然很难接受。
例如，FortiGate 90G 内置两组 RJ45/SFP+ 共享介质 10GbE 接口。每组只能同时使用一个插口，因此不是四个独立可用的 10G 端口。这里比较的是内置连接能力，而非同等防护性能或完整成本。
扩充产品线，还是逐步替换？
根据 Sophos 目前传达的说法，新型号是对产品线的补充，并非某款设备的直接继任者。现有型号将继续供应，此次公告也不会改变其生命周期日期。
我接受这份声明本身，但对后续发展有不同预期。
XGS 2100 属于 2021 年 4 月 21 日开始供应的 2xxx 系列。到计划开放订购的 2026 年 11 月 4 日，它将已经上市五年半多。旁边摆着性能明显更强的产品，老款库存迟早会越来越难卖。
我的推测是：两条产品线先并行销售，消化现有库存，然后部分老型号进入停售阶段。这符合我对 Sophos 以往换代方式的认识。这只是我的判断，并非确认的路线图，也不是 XGS 2100 的正式停售通知。 停售同样不意味着立即停止支持。
硬件和订阅价格决定是否值得
性能提升当然是好事。但是否划算，要看设备、必要模块、防护套餐以及后续续订的总成本。
2026 年，受影响的 XGS 项目据报经历了两次各 10% 的涨价：第一次自 7 月 1 日起，第二次自 11 月 1 日起适用于相关固定期限产品。累计为 1.10 × 1.10 = 1.21，即 21%。在相同计价基础下，原来 1,000 的目录项目变成 1,210。折扣、币种和合同条件会影响实际账单；这也不是对所有 Sophos 产品或所有计费方式一概适用。
我尤其在意持续费用：已经买下的防火墙，不会因为续订就变成另一台设备。
小企业的预算有限。如果续订不断变贵，考虑替代方案很合理。若许可费也继续上涨，仅仅更快的新设备很难解决这个问题。
Xstream Protection 与 Xstream Plus 对比
随硬件一起到来的 Xstream Protection Plus，在现有 Xstream 套餐之上加入 Workspace Protection、更长的报告保留期，以及 Enhanced Plus Support。Sophos 已在 2026 年 10 月 16 日生效的公开许可指南中列出该套餐。
下表重现所提供许可概览中的功能范围。Base License 是硬件自带的技术基础，不能替代完整防护套餐。
| 组成部分 | Base License | Xstream Protection | Xstream Protection Plus |
|---|---|---|---|
| 网络、站点间 VPN 与远程访问 VPN | 包含 | 包含 | 包含 |
| Network Protection：IPS、TLS/DPI、Heartbeat、SD-RED | 不包含 | 包含 | 包含 |
| Web Protection 与 Application Control | 不包含 | 包含 | 包含 |
| 带文件分析及沙箱的 Zero-Day Protection | 不包含 | 包含 | 包含 |
| Central Orchestration | 不包含 | 包含 | 包含 |
| 云端 DNS Protection | 不包含 | 包含 | 包含 |
| MDR/XDR 及第三方威胁情报源、NDR Essentials | 不包含 | 包含 | 包含 |
| 集中式防火墙报告 | 额外合格许可可提供最长 7 天 | 最长 30 天 | 最长 1 年 |
| Workspace Protection | 不包含 | 不包含 | 用户配额取决于型号或许可 |
| Enhanced Support | 需另行购买 | 包含 | 包含，附 Enhanced Plus 升级 |
| Enhanced Plus Support | 单独购买 | 可选升级 | 包含 |
| 防火墙本机 Email Protection | 附加模块 | 附加模块 | 附加模块 |
| Web Server Protection / WAF | 附加模块 | 附加模块 | 附加模块 |
报告保留期取决于存储容量和数据量。“最长一年”并不保证任何流量规模都能保存完整一年。新型号各自的 Workspace 用户配额仍需在报价中确认。
Workspace Protection 包含 Protected Browser、ZTNA、终端 DNS Protection 和 Email Monitoring System。其中的监控系统不同于防火墙本机的 Email Protection。支持 MDR 威胁情报源，也不等于购买了托管 MDR 服务。
包含多少 Workspace 许可？
公开指南为现有 XGS 型号列出了以下配额。最后一列是 CFR 存储许可数量，不是 GB 数。
| XGS 型号 | Workspace 用户数 | CFR 存储许可数 |
|---|---|---|
| 88(w), 108(w) | 5 | 5 |
| 118(w) | 5 | 10 |
| 128(w), 138 | 10 | 10 |
| 2100, 2300, 3100 | 25 | 10 |
| 3300, 4300, 4500 | 100 | 25 |
| 5500, 6500 | 300 | 50 |
| 7500, 8500 | 500 | 100 |
全新 2380、3380、4580 和 5580 尚未列出。不能据此推算它们的配额。
Workspace 采用已认证浏览器用户数、已认证 ZTNA 用户数和 DNS 代理安装数中的最高值。Sophos 对 DNS 代理规定每用户每天 15,000 次查询；ZTNA 云网关模式则为每用户每月平均 15 GB 数据传输。更大的防火墙，并不意味着无限使用 Workspace。
在我看来，Plus 主要像是在带动 Workspace 销售
我的印象是，Sophos 想通过防火墙订阅销售 Workspace Protection。按我的经验，单独购买这个套餐的需求不多。这只是我工作范围内的观察，不是对 Sophos 全球销量的判断。
受保护浏览器可以用于特定应用、外部协作人员或受控访问。但我个人觉得，拿它作为升级防火墙许可的理由并不吸引人。已经有成熟浏览器及设备管理的企业，需要具体收益才能证明切换是值得的。
DNS 防护方面，我会把 DNSFilter 作为独立替代方案来评估。全网 DNS 过滤和离开办公室的设备策略，本就是其明确用途。对于专门要解决这项问题的企业，我常认为专业化方案更合适。这不代表我声称它在任何情况下都有更高检测率。
Zero Trust 访问方面，我会按任务优先考虑 Tailscale、Twingate 或 Cloudflare Access。Tailscale 特别吸引我的地方，是用基于身份的规则连接企业站点、服务器和移动团队。Twingate 面向私有资源访问，Cloudflare Access 则在 Cloudflare One 中提供应用级策略。它们的架构不同，网状网络和应用代理不能直接互换。
在我看来，UniFi 也曾长期被低估其企业适用性。所以我会看功能、运维和实际要求。易用或受家庭用户欢迎，并不能说明产品是否适合企业。
我的偏好针对架构和运维是否匹配。这里依据的是文档中的工作方式以及个人分析，并非新做了一轮统一条件下的产品对比测试。
套餐的问题很简单：如果企业已经有满意的 DNS 防护和远程访问，新增 Workspace 许可首先带来的是功能重叠。此外，防火墙型号决定用户配额，但吞吐量需求和员工人数本来就是两个不同维度。
更长的报告保留期和 Enhanced Plus Support 仍可能有实际价值。我只是想知道要多付多少钱，以及是否真的需要附带的用户许可。
星期三我会关注什么
性能数据让这些新 XGS 值得关注。更高的防护性能加上 1U 体积，可能对新部署有吸引力。
但要给出可靠评价，我还需要具体硬件价格、新购与续订价格、准确端口配置以及新型号的 Workspace 配额。开放订购后真正何时能交付，也很重要。
我对 Sophos 的期待并不高：现代接口，无需昂贵的必选模块；许可成本清楚；防护套餐符合企业需要。经历今年的涨价后，新一代仍需证明其经济价值。对我来说，仅有更高吞吐量还不够。
下次见，
Joe
