Sophos Firewall: la gama XGS, sus cifras, sus licencias y su fin de soporte

Sophos Firewall es el sistema de los cortafuegos de Sophos, y los aparatos en los que corre son la gama XGS. También funciona en máquina virtual, en la nube de AWS o Azure, o como imagen sobre hardware Intel propio. Esta guía trata de los aparatos físicos, y sobre todo de los que encajan en una pyme.

Qué modelos vende Sophos

• XGS de sobremesa, para pymes y oficinas: XGS 88, 108, 118, 128 y 138. Los cuatro primeros tienen versión con Wi-Fi 6 integrado (88w, 108w, 118w y 128w). Es la segunda generación: la primera, con los XGS 87, 107, 116, 126 y 136, ya no se vende.
• XGS de 1U, para armario: XGS 2100, 2300, 3100, 3300, 2380, 3380, 4300, 4500, 4580 y 5580.
• XGS de 2U, para grandes sedes: XGS 5500, 6500, 7500 y 8500.
• SD-RED 20 y 60: no son cortafuegos, sino aparatos para conectar una sede pequeña a un Sophos Firewall.

Son lo que se conoce como un NGFW. Si no tienes claro qué tipo de aparato necesitas, mira antes los tipos de firewall.

Cómo leer las cifras de Sophos

Sophos avisa de que son máximos en condiciones ideales de prueba, y de que el rendimiento real cambia con la red y los servicios activos. Las mide así:

• Firewall: con tráfico HTTP y respuestas de 512 KB. Es la cifra más alta y la menos útil para comparar.
• IMIX: UDP con una mezcla de paquetes de 66, 570 y 1.518 bytes.
• IPS: HTTP, reglas por defecto y objetos de 512 KB.
• VPN IPsec: HTTP con varios túneles y respuestas de 512 KB.
• Inspección TLS: con IPS activo en sesiones HTTPS.
• Threat Protection: con cortafuegos, IPS, control de aplicaciones y prevención de malware, y tráfico «Enterprise Mix». Es la que mejor se acerca a un uso con la protección puesta.

Ten en cuenta que el tráfico cifrado pesa mucho: en todos los modelos, la cifra de inspección TLS es bastante menor que la de Threat Protection.

XGS de sobremesa: las cifras

Los XGS 88 y 108 no tienen ventilador, algo a tener en cuenta si el aparato va a estar en una sala donde se trabaja. Los módulos SFP se venden aparte. Sophos indica que todas las funciones de protección van en los XGS 1xx y la mayoría en el XGS 88, así que, si eliges este último, comprueba antes que lleve lo que necesitas.

El XGS 138 es un modelo distinto a los demás: tiene un procesador dedicado para acelerar el tráfico, mientras que del 88 al 128 usan una sola CPU con aceleración por software. Da menos en VPN IPsec que el XGS 128 (6,6 frente a 15,05 Gbps) y más con la protección activa.

Folleto oficial de Sophos Firewall y la serie XGS (PDF, en la web de Sophos)

XGS de 1U, de un vistazo

Fíjate en que el número no va en orden de potencia: el XGS 2380 da bastante más que el XGS 3300 en casi todo. Los XGS 2100, 2300, 3100 y 3300 admiten un módulo de puertos (Flexi Port) para ampliar y una segunda fuente externa opcional.

Las licencias de Sophos Firewall

Aquí está lo que más confunde. La licencia base va incluida con el aparato y trae red, red inalámbrica, VPN de acceso remoto sin límite, VPN entre sedes, informes y API. Pero Sophos deja claro que, para recibir actualizaciones de firmware y soporte, hace falta además una suscripción de soporte. En máquina virtual, en software o en la nube, la licencia base se compra aparte.

Cada módulo se puede comprar suelto, salvo DNS Protection. Si compras por módulos, Sophos avisa de que hay que añadir el soporte a cada uno. Email Protection y Web Server Protection se venden aparte.

Xstream Plus trae 5 usuarios de Workspace Protection en los XGS 88, 108 y 118, 10 en los XGS 128 y 138, y 25 en los XGS 2100, 2300 y 3100.

Sophos no publica precios en estas páginas: vende a través de distribuidores y pide solicitar un presupuesto. Pídelo con la licencia y los años incluidos, para comparar bien.

Fin de venta y fin de vida

Los XGS 88, 108, 118, 128 y 138, y los de 1U de la tabla de arriba, no tienen fechas declaradas en el calendario. Sophos indica además que, tras el fin de vida, deja de tramitar las sustituciones de aparatos averiados.

Sobre el sistema SFOS, el calendario marca como con soporte la última versión de mantenimiento de cada rama y la anterior: en la 22.0, la MR3 está mantenida y la MR2 con soporte, mientras que la GA acabó el 30 de octubre de 2026 y la MR1 acaba el 31 de marzo de 2027. Con la 21.5 pasa igual, con la MR2 y la MR1. Mira la tabla del calendario de retirada antes de actualizar, porque Sophos lo va revisando.

Sophos Firewall en el catálogo del CCN

Si el cortafuegos va a un sistema del Esquema Nacional de Seguridad de categoría media o alta, el ENS pide elegirlo del catálogo CPSTIC del Centro Criptológico Nacional. A 9 de noviembre de 2026, la entrada de Sophos Firewall SFOS v20.0 dice:

• Cualificado para la categoría alta del ENS, desde el 8 de agosto de 2024 hasta el 31 de enero de 2027.
• Aprobado para información clasificada de todos los niveles, desde el 1 de febrero de 2026 hasta el 31 de enero de 2027.
• Procedimiento: la guía de empleo seguro CCN-STIC-1469.

La versión cualificada es la 20.0, y el calendario de Sophos que se cita arriba ya habla de la 21.5 y la 22.0. Si la compra depende del ENS, comprueba en el catálogo la versión y la fecha antes de pedir el equipo, porque la vigencia acaba a finales de enero de 2027.

Cómo elegir un Sophos XGS

1. Mira Threat Protection, y TLS si inspeccionas tráfico cifrado. Un XGS 88 da 2 Gbps de Threat Protection, pero solo 600 Mbps de inspección TLS: con una línea de 1 Gbps y todo inspeccionado, se queda corto.
2. Compra de segunda generación. Si te ofrecen un XGS 87, 107, 116, 126 o 136, ya pasaron su fin de venta y su fin de vida es septiembre de 2030.
3. Decide si te hace falta Wi-Fi, 5G o una segunda fuente: el Wi-Fi integrado va en los modelos w, el módulo 5G solo a partir del XGS 118, y la segunda fuente, a partir del XGS 108.
4. Si necesitas PoE o 10 GE en sobremesa, el único es el XGS 138.
5. Pide el presupuesto con licencia incluida: sin suscripción de soporte, no hay actualizaciones de firmware.