راهنمای جامع فایروال‌های Sophos XGS (مدل‌های 2100 تا 4300) در سال 2026

راهنمای انتخاب Sophos XGS 2100 تا 4300؛ مقایسه، Sizing و خرید فایروال

اگر بین Sophos XGS 2100، XGS 2300، XGS 3100، XGS 3300 و XGS 4300 مردد هستید، مقایسه صرف اعداد Firewall Throughput راه درستی برای انتخاب نیست. در یک شبکه واقعی، IPS، VPN، Application Control، Web Protection، TLS Inspection، تعداد Sessionها، ترافیک بین شعب و رشد آینده شبکه همزمان روی ظرفیت فایروال اثر می‌گذارند.

به همین دلیل ممکن است دو سازمان با تعداد کاربر مشابه، به دو مدل کاملاً متفاوت Sophos XGS نیاز داشته باشند. یک مجموعه با ترافیک SaaS سبک و کاربران اداری با سازمانی که SSL/TLS Inspection، VPN بین شعب، سرویس‌های داخلی و ترافیک سنگین دارد قابل مقایسه نیست.

Sophos XGS 2100 تا 4300 برای چه شبکه‌هایی ساخته شده‌اند؟

مدل‌های XGS 2100 تا XGS 4300 در خانواده Rackmount سری Sophos XGS قرار می‌گیرند و برای شبکه‌های سازمانی، دفاتر مرکزی، شرکت‌های چندشعبه‌ای و زیرساخت‌هایی طراحی شده‌اند که از یک فایروال ساده Desktop فراتر رفته‌اند.

این مدل‌ها همگی از معماری Xstream استفاده می‌کنند و Sophos در این خانواده از CPU به همراه Xstream Flow Processor برای شتاب‌دهی بخشی از پردازش‌های شبکه استفاده می‌کند. هدف این معماری کاهش بار پردازشی در سناریوهایی مانند Application Acceleration، VPN، SD-WAN و پردازش ترافیک واجد شرایط FastPath است.

اما تفاوت مدل‌ها فقط در سرعت نیست. ظرفیت Session، IPS، Threat Protection، TLS Inspection، تعداد Interfaceها، Flexi Port و قابلیت توسعه نیز با افزایش مدل تغییر می‌کند.

مقایسه مشخصات Sophos XGS 2100، 2300، 3100، 3300 و 4300

جدول زیر براساس اعداد Performance اعلام‌شده در دیتاشیت رسمی Sophos تهیه شده است. این اعداد در شرایط آزمایشگاهی به‌دست آمده‌اند و نباید مستقیماً معادل Performance واقعی شبکه در نظر گرفته شوند.

چرا Firewall Throughput معیار خوبی برای انتخاب مدل نیست؟

یکی از رایج‌ترین اشتباهات هنگام خرید فایروال Sophos این است که مثلاً گفته شود: «این مدل 47Gbps Firewall Throughput دارد، پس برای اینترنت 2Gbps بسیار بیشتر از نیاز ماست.»

این تحلیل ناقص است. Firewall Throughput معمولاً در شرایطی اندازه‌گیری می‌شود که بار امنیتی واقعی یک شبکه سازمانی را بازتاب نمی‌دهد. وقتی IPS، Application Control، Web Protection، Malware Inspection یا TLS Inspection فعال می‌شوند، معیارهای دیگری تعیین‌کننده خواهند بود.

برای همین در پروژه واقعی، Threat Protection Throughput اغلب معیار بسیار کاربردی‌تری از Firewall Throughput خام است.

برای مثال فاصله XGS 3100 و XGS 3300 در Firewall Throughput حدود 11Gbps است، اما Threat Protection از 2Gbps به 3Gbps افزایش پیدا می‌کند. اگر شبکه شما Inspection سنگینی دارد، همین اختلاف می‌تواند بسیار مهم‌تر از عدد Firewall باشد.

XGS 2100 برای چه سناریویی مناسب است؟

Sophos XGS 2100 ورودی خانواده 1U این گروه محسوب می‌شود. مزیت آن نسبت به مدل‌های Desktop فقط Performance بالاتر نیست؛ Flexi Port، فرم‌فاکتور رک‌مونت، قابلیت توسعه Interface و ظرفیت بالاتر برای شبکه‌های سازمانی نیز اهمیت دارند.

سناریوهای مناسب XGS 2100

• دفتر مرکزی یک شرکت متوسط
• شبکه دارای چند VLAN و Segmentation
• چند تونل Site-to-Site VPN
• اینترنت سازمانی با Security Inspection متوسط
• سازمانی که از مدل Desktop عبور کرده ولی هنوز به ظرفیت خانواده 3xxx نیاز ندارد

XGS 2100 دارای Threat Protection حدود 1.25Gbps و TLS Inspection حدود 1.1Gbps در تست رسمی Sophos است. بنابراین برای شبکه‌ای که Inspection رمزنگاری‌شده سنگین دارد، فقط عدد 30Gbps Firewall نباید مبنای انتخاب باشد.

XGS 2300؛ چه زمانی ارزش ارتقا از 2100 را دارد؟

Sophos XGS 2300 از نظر معماری و Interface به XGS 2100 نزدیک است اما Performance بالاتری ارائه می‌دهد. Firewall Throughput به 39Gbps، Threat Protection به 1.5Gbps و TLS Inspection به 1.45Gbps می‌رسد.

اگر پروژه در محدوده توان XGS 2100 قرار دارد اما رشد ترافیک، افزایش VPN، استفاده بیشتر از SaaS یا نیاز به Headroom آینده مطرح است، XGS 2300 می‌تواند منطقی‌تر باشد.

XGS 3100؛ ورود به ظرفیت بالاتر برای شبکه سازمانی

در Sophos XGS 3100 جهش مهم‌تری نسبت به سری 2xxx دیده می‌شود. Concurrent Connection از 6.5 میلیون در XGS 2100 و 2300 به حدود 12.26 میلیون می‌رسد و IPS نیز 10.5Gbps است.

TLS Inspection رسمی آن حدود 2.47Gbps و Threat Protection حدود 2Gbps است. این اعداد باعث می‌شوند XGS 3100 برای شبکه‌هایی که Inspection بیشتری دارند یا بار همزمان بالاتری ایجاد می‌کنند، جدی‌تر شود.

XGS 3100 را در این پروژه‌ها بررسی کنید

• HQ سازمانی با Traffic همزمان بالا
• تعداد زیاد Session
• SSL/TLS Inspection گسترده‌تر
• IPS و Application Control دائماً فعال
• چند شعبه با IPsec VPN
• نیاز به Headroom بیشتر نسبت به 2100/2300

XGS 3300؛ تفاوت واقعی با XGS 3100 چیست؟

در نگاه اول ممکن است اختلاف XGS 3100 و XGS 3300 فقط افزایش Performance به‌نظر برسد؛ اما در شبکه‌هایی با Inspection سنگین اختلاف آن‌ها ملموس‌تر می‌شود.

Threat Protection از 2Gbps در 3100 به 3Gbps در 3300 و IPS از 10.5Gbps به 14Gbps افزایش می‌یابد. همچنین ظرفیت New Connections و Concurrent Connections بالاتر می‌رود.

بنابراین اگر XGS 3100 در محاسبات پروژه نزدیک سقف موردنیاز قرار گرفته، انتخاب XGS 3300 می‌تواند فضای امن‌تری برای رشد، Peak Traffic و افزایش Security Policyها ایجاد کند.

XGS 4300؛ فقط یک 3300 سریع‌تر نیست

Sophos XGS 4300 یک جهش قابل توجه نسبت به XGS 3300 دارد. Threat Protection رسمی به 6.5Gbps، IPS به 29.5Gbps و TLS Inspection به 8Gbps می‌رسد.

از نظر Connectivity هم تفاوت مهم است. XGS 4300 دارای Interfaceهای ثابت 2.5GbE و 10GbE SFP+ و دو Flexi Port Slot است؛ بنابراین برای شبکه‌هایی که Backbone سریع‌تر، Uplinkهای 10GbE یا توسعه Interface اهمیت دارند، صرفاً Performance نرم‌افزاری مطرح نیست.

XGS 4300 را وقتی جدی بررسی کنید که:

• شبکه دارای Backbone چندگیگابیتی است.
• TLS Inspection سنگین دارید.
• ترافیک IPsec VPN بالا است.
• تعداد Session و Connection زیاد است.
• به 10GbE و توسعه Interface نیاز دارید.
• شبکه برای چند سال آینده رشد قابل توجه خواهد داشت.

چند کاربر؟ سؤال اشتباهی که زیاد پرسیده می‌شود

یکی از پرتکرارترین سؤال‌ها این است:

«XGS 3100 برای چند کاربر مناسب است؟»

مشکل این سؤال این است که Sophos برای این تجهیزات یک عدد ثابت رسمی تحت عنوان Maximum Users ارائه نمی‌دهد؛ چون «کاربر» واحد مناسبی برای اندازه‌گیری بار فایروال نیست.

برای مثال 500 کاربر اداری که عمدتاً Email و وب استفاده می‌کنند ممکن است بار کمتری از 150 کاربر در یک شرکت ویدئویی، مرکز توسعه نرم‌افزار، Call Center، مجموعه دارای Cloud Backup یا سازمانی با TLS Inspection گسترده ایجاد کنند.

چطور Sophos XGS را درست Sizing کنیم؟

1. پهنای باند اینترنت را مشخص کنید

فقط سرعت فعلی را ننویسید. اگر لینک 1Gbps امروز قرار است در یک یا دو سال آینده 2 یا 5Gbps شود، دستگاه باید Headroom کافی داشته باشد.

2. Security Services را مشخص کنید

Firewall ساده با فایروالی که IPS، Web Protection، Application Control و TLS Inspection دارد یک بار پردازشی ایجاد نمی‌کند.

3. VPN را جداگانه بررسی کنید

تعداد شعب، IPsec Site-to-Site، Remote Access و حجم واقعی ترافیک تونل‌ها باید مشخص باشد. عدد IPsec VPN Datasheet تنها یکی از ورودی‌های Sizing است.

4. Session و Application Pattern را بررسی کنید

تعداد Concurrent Connection در شبکه‌هایی مثل SaaS، VoIP، VDI، سرویس‌های Cloud و سیستم‌های پرتراکنش اهمیت زیادی دارد.

5. ظرفیت را لب مرز انتخاب نکنید

خرید فایروالی که در روز اول نزدیک سقف ظرفیت موردنیاز قرار دارد، تصمیم خوبی نیست. Firmware جدید، Policyهای بیشتر، افزایش ترافیک و توسعه سازمان می‌توانند Headroom را سریع مصرف کنند.

لایسنس Sophos XGS چه اثری روی انتخاب دارد؟

سخت‌افزار تنها بخش تصمیم نیست. Sophos Firewall دارای Base License است و سرویس‌های امنیتی پیشرفته از طریق Subscriptionها فعال می‌شوند.

در ساختار فعلی Sophos، دو Bundle مهم Standard Protection و Xstream Protection هستند. Standard Protection شامل Network Protection، Web Protection و Enhanced Support است. Xstream Protection علاوه بر این موارد، Zero-Day Protection، Central Orchestration و DNS Protection را نیز در اختیار قرار می‌دهد.

بنابراین ممکن است سخت‌افزار درستی خریداری شود اما Subscription انتخاب‌شده با سناریوی امنیتی سازمان همخوان نباشد.

برای جزئیات کامل، مقاله لایسنس Sophos XGS؛ تفاوت Xstream Protection و Standard Protection را بخوانید.

SFOS جدید چه اهمیتی در انتخاب XGS دارد؟

در زمان به‌روزرسانی این راهنما، شاخه فعلی Sophos Firewall به SFOS 22 رسیده است. نسخه‌های جدید فقط Patch امنیتی نیستند و قابلیت‌های مدیریتی و امنیتی تازه‌ای اضافه می‌کنند.

برای مثال در v22 قابلیت‌هایی در حوزه Secure by Design و Health Check اضافه شده و در MR2 کنترل Post-Quantum Cryptography، بهبود کنترل برنامه‌های Generative AI و قابلیت‌های جدید مدیریتی ارائه شده است.

نکته مهم‌تر برای خریدار این است که Firmware را صرفاً به‌عنوان یک عدد نسخه نبیند. مدل سخت‌افزار، وضعیت Support، Subscription و مسیر Upgrade باید قبل از استقرار بررسی شوند.

برای بررسی امنیت تنظیمات می‌توانید مقاله Health Check در Sophos Firewall v22 را مطالعه کنید.

اگر از Sophos SG یا UTM مهاجرت می‌کنید

مهاجرت از SG/UTM یا فایروال قدیمی به XGS نباید به معنی انتقال کورکورانه همه Ruleها و Objectها باشد.

قبل از Migration بهتر است Ruleهای بلااستفاده، NATهای قدیمی، Objectها، VPNها و Policyهای امنیتی بررسی شوند. انتقال یک Configuration شلوغ و قدیمی به سخت‌افزار جدید فقط مشکل قدیمی را روی دستگاه جدید منتقل می‌کند.

برای این مسیر دو راهنمای مرتبط داریم:

• راهنمای مهاجرت Sophos SG/UTM به XGS
• Sophos Firewall Config Studio برای بررسی و مهاجرت کانفیگ

اشتباهات رایج در انتخاب Sophos XGS

• تبدیل تعداد کاربر به مدل: مثلاً 1000 کاربر = XGS 3100؛ این فرمول قابل اتکا نیست.
• استفاده از Firewall Throughput به‌عنوان تنها معیار: در شبکه واقعی Threat Protection و TLS مهم‌تر می‌شوند.
• انتخاب دستگاه لب مرز: بدون Headroom برای رشد آینده.
• نادیده گرفتن Interface: ممکن است Performance کافی باشد اما تعداد یا سرعت پورت‌ها پاسخگو نباشد.
• بی‌توجهی به Subscription: سخت‌افزار مناسب بدون سرویس امنیتی لازم، هدف پروژه را تأمین نمی‌کند.
• فعال کردن TLS Inspection بدون Capacity Planning: Inspection رمزنگاری‌شده می‌تواند یکی از بارهای سنگین فایروال باشد.
• مهاجرت Configuration بدون Audit: Ruleهای قدیمی و بلااستفاده روی فایروال جدید باقی می‌مانند.

چک‌لیست قبل از خرید Sophos XGS

Sophos XGS یا FortiGate؟

اگر هنوز بین Sophos و Fortinet تصمیم نگرفته‌اید، مقایسه فقط بر اساس Throughput نتیجه دقیقی نمی‌دهد. اکوسیستم موجود شبکه، تجربه تیم فنی، مدل لایسنس، Central Management، SD-WAN، Security Services و هزینه نگهداری باید همزمان بررسی شوند.

برای جلوگیری از تکرار بحث در این مقاله، مقایسه کامل را در صفحه جداگانه آورده‌ایم:

مقایسه Sophos XGS و FortiGate؛ کدام برای شبکه سازمانی مناسب‌تر است؟

سوالات متداول درباره Sophos XGS

جمع‌بندی بی‌تعارف؛ کدام Sophos XGS را بخریم؟

هیچ جدول «تعداد کاربر = مدل Sophos» نمی‌تواند جای Sizing واقعی را بگیرد.

XGS 2100 و 2300 برای بسیاری از شبکه‌های متوسط و Distributed Edge نقطه شروع جدی هستند. XGS 3100 و 3300 وقتی Session، Inspection و بار امنیتی افزایش پیدا می‌کند وارد محدوده مناسب‌تری می‌شوند. XGS 4300 نیز فقط نسخه سریع‌تر مدل‌های قبلی نیست و از نظر TLS Inspection، VPN، IPS و Connectivity جهش محسوسی ایجاد می‌کند.

اگر پروژه شما در مرز دو مدل قرار دارد، ارزان‌ترین دستگاه را انتخاب نکنید. مقدار واقعی Traffic، قابلیت‌های امنیتی فعال و رشد شبکه را بررسی کنید. هزینه خرید یک مدل کمی بالاتر معمولاً کمتر از هزینه تعویض فایروالی است که دو سال بعد زیر بار شبکه کم می‌آورد.