Sophos SD-WAN: conecte filiais com segurança e performance

Sophos SD-WAN é a tecnologia integrada à linha XGS que combina firewall Next-Gen com roteamento inteligente entre filiais, selecionando o melhor link em tempo real por latência, perda de pacote e jitter. Suporta até 8 links WAN por appliance, transita sessões ativas entre links sem interrupção (zero-impact transitions) e usa aceleração Xstream FastPath em túneis IPsec — sem custo adicional de licença. É indicado para empresas com 2 a 50 filiais que querem substituir MPLS por links comerciais sem perder qualidade corporativa.

O que é Sophos Xstream SD-WAN e como funciona?

SD-WAN (Software-Defined Wide Area Network) é a tecnologia que abstrai a camada de transporte da WAN, permitindo que múltiplos links de internet — fibra, rádio, 4G/5G, satelital — sejam tratados como uma malha única, com roteamento dinâmico baseado em performance da aplicação. O Sophos Xstream SD-WAN é a implementação nativa dentro do Sophos Firewall OS (SFOS), introduzida na v19 e amadurecida nas versões 20, 21 e 22. Diferente de soluções SD-WAN que exigem um appliance dedicado separado do firewall, o Xstream SD-WAN roda no mesmo hardware XGS que protege a rede. Isso significa que toda a inspeção de segurança (IPS, Web Filtering, TLS 1.3, Application Control) é aplicada ao tráfego SD-WAN sem hops adicionais, sem latência extra e sem custo de licença separada. Para entender como o SD-WAN se encaixa no conjunto de capacidades do Sophos, vale consultar o guia completo do Firewall Sophos para empresas, que traz o panorama estratégico da plataforma.

Os três pilares técnicos do Xstream SD-WAN

• SD-WAN Profiles — perfis de roteamento que definem regras de seleção de link para cada aplicação ou grupo de aplicações, com suporte a até 8 gateways WAN por appliance.
• Performance-based link selection — o firewall monitora continuamente cada link em latência, jitter e perda de pacote, e roteia sessões para o link com melhor performance no momento.
• Zero-impact transitions — quando um link degrada, sessões ativas (VoIP, videoconferência, ERP) são transferidas para outro link sem queda perceptível ao usuário.

Quando faz sentido adotar SD-WAN em vez de MPLS?

MPLS (Multiprotocol Label Switching) entregou por duas décadas o que o mercado precisava: link com SLA contratual, baixa latência e roteamento previsível entre filiais. O problema é o custo — circuitos MPLS no Brasil custam de 4 a 10 vezes mais que internet comercial equivalente em throughput — e a rigidez para escalar. SD-WAN é a escolha técnica e econômica quando:

• A empresa tem 2 ou mais filiais com necessidade de comunicação interna constante (acesso a ERP centralizado, telefonia VoIP, videoconferência, compartilhamento de arquivos).
• O orçamento de WAN está ficando insustentável com MPLS e a maioria das aplicações já está em nuvem (Microsoft 365, Google Workspace, Salesforce, SAP S/4HANA Cloud).
• Existe necessidade de redundância de link em cada filial (fibra primária + 4G/5G secundário, por exemplo) sem complexidade de roteamento manual.
• A operação precisa de visibilidade centralizada sobre performance da WAN em todas as filiais, com relatórios consolidados.
• O time de TI quer reduzir dependência da operadora de telecom para mudanças simples de política de roteamento.

Para operações com 1 a 2 filiais e tráfego majoritariamente local, SD-WAN ainda agrega valor (failover automático, principalmente), mas o ROI mais expressivo aparece a partir de 3 filiais.

Como configurar SD-WAN no Firewall Sophos (passo a passo conceitual)?

A implantação de Xstream SD-WAN em um ambiente com matriz e filiais segue uma sequência lógica de cinco etapas. Este é o roteiro conceitual que a InfoB executa em projetos brasileiros:

1. Inventário de aplicações e classificação de criticidade

Antes de tocar no firewall, mapeie: quais aplicações são real-time (VoIP, videoconferência), quais são business-critical (ERP, CRM), quais são bulk (backup, sincronização de arquivos) e quais são best-effort (navegação web, redes sociais). Essa classificação define os SD-WAN Profiles que serão criados.

2. Definição dos links WAN em cada site

Configure cada link disponível (fibra dedicada, link comercial, 4G/5G) como uma gateway WAN separada no Sophos Firewall. O SFOS suporta até 8 links WAN por appliance, com classificação por tipo e custo. Defina qual é o link primário, secundário e backup.

3. Criação de SD-WAN Profiles com SLA por aplicação

Crie perfis que definem os thresholds aceitáveis de latência, jitter e perda de pacote para cada classe de aplicação. Exemplo: voz exige ≤150 ms de latência, ≤30 ms de jitter e ≤1% de packet loss. Quando um link viola esses limites, o tráfego dessa aplicação é roteado para outro link automaticamente.

4. Estabelecimento de túneis IPsec entre sites

Configure túneis IPsec site-to-site entre cada filial e a matriz (topologia hub-and-spoke) ou entre todas as filiais (full mesh, para empresas com tráfego inter-filial intenso). Nos modelos XGS 88 a 128, os túneis se beneficiam de aceleração Xstream virtual FastPath; no XGS 138 e superiores, da aceleração via Flow Processor dedicado.

5. Orquestração e monitoramento via Sophos Central

Conecte todos os firewalls ao Sophos Central para gestão centralizada. Isso permite aplicar políticas SD-WAN consistentes em todas as filiais, monitorar performance em tempo real, gerar relatórios consolidados e fazer zero-touch deployment de novos sites (especialmente útil com appliances SD-RED, que se autoconfiguram ao serem conectados à internet).

Tabela comparativa: SD-WAN vs MPLS vs Internet pura

Critério	MPLS	Internet pura	Sophos SD-WAN
Custo mensal por filial (Brasil)	Alto (R$ 3.000 – R$ 15.000+)	Baixo (R$ 300 – R$ 1.500)	Médio (link comercial + licença firewall)
SLA por aplicação	Sim, contratual com a operadora	Não	Sim, dinâmico via SD-WAN Profile
Failover automático	Limitado (depende do contrato)	Não	Sim, zero-impact transitions
Inspeção de segurança	Externa (firewall separado)	Externa (firewall separado)	Integrada no firewall XGS
Time-to-deploy (nova filial)	Semanas a meses	Dias	Dias (zero-touch com SD-RED)
Visibilidade end-to-end	Limitada (depende da operadora)	Baixa	Alta (Sophos Central)
Performance em apps SaaS	Média (precisa sair pela matriz)	Alta (saída direta)	Alta (saída direta + segurança)
Escalabilidade	Baixa (cada filial é projeto)	Alta (link comercial é commodity)	Alta (orquestração via Central)
Dependência da operadora	Alta	Baixa	Baixa
Resiliência multi-link	Não nativa	Não	Sim (até 8 links por site)

Quais são as boas práticas para implementar SD-WAN com Sophos?

• Combine operadoras diferentes em cada filial — fibra de uma e link de outra reduz risco de queda simultânea por problema na infraestrutura de uma única operadora.
• Use 4G/5G como link de redundância, não como principal — exceto em filiais sem fibra disponível, o link celular é ideal como backup automático ativável em segundos.
• Defina políticas conservadoras de threshold no início — comece com SLAs mais frouxos e ajuste após 30 dias de telemetria real. Threshold muito agressivo causa flapping (oscilação entre links).
• Mantenha túneis IPsec com chaves robustas — use IKEv2 com AES-256 e Perfect Forward Secrecy. Não economize criptografia em túneis inter-filial.
• Habilite a inspeção de segurança no tráfego SD-WAN — o erro comum é “bypassear” inspeção em túneis VPN site-to-site. Tráfego inter-filial pode ser vetor de propagação lateral em incidentes.
• Monitore com Sophos Central por pelo menos 60 dias antes de declarar projeto “estável” — padrões de tráfego variam por sazonalidade (fim de mês, fechamento contábil, eventos), e o tuning fino precisa dessa observação.

Quais riscos comuns evitar na implementação de SD-WAN?

• Subestimar o link de internet local — SD-WAN não cria banda; só otimiza o uso. Se o link da filial é gargalo, o SD-WAN não resolve.
• Migrar todo o MPLS de uma vez — fase a migração filial por filial, mantendo MPLS em paralelo nas primeiras semanas para validar performance.
• Ignorar a topologia das aplicações — se o ERP fica on-premise na matriz, todas as filiais precisam de túnel até a matriz. Se o ERP é SaaS, cada filial pode sair direto para internet com inspeção do firewall local.
• Não treinar o time de suporte de TI — SD-WAN muda o modelo de troubleshooting. Diagnosticar “está lento” agora envolve análise de qual link foi escolhido e por quê. Sem treinamento, o time vai culpar o SD-WAN por problemas que não são dele.
• Confiar 100% em failover automático sem teste — agende simulações trimestrais de queda de link primário para validar o comportamento do SD-WAN em cada filial.
• Esquecer a LGPD em tráfego inter-filial — túneis VPN garantem confidencialidade em trânsito, mas a inspeção e a retenção de logs precisam estar alinhadas com a política de privacidade da empresa.

FAQ — Sophos SD-WAN

SD-WAN substitui completamente o MPLS?

Na maioria dos casos PME e mid-market no Brasil, sim. Para empresas com aplicações extremamente sensíveis a latência (trading financeiro, telemedicina em tempo real, indústrias com automação ICS crítica), é comum manter MPLS em um par de sites estratégicos e usar SD-WAN no restante — modelo conhecido como “MPLS + SD-WAN híbrido”. O SD-WAN do Sophos suporta esse cenário misto sem dificuldade.

Quantas filiais justificam adotar SD-WAN?

O ROI mais expressivo aparece a partir de 3 filiais. Com 2 filiais, o ganho é principalmente em failover e visibilidade. Com 1 filial, faz sentido apenas se houver múltiplos links de internet no mesmo site e desejo de tê-los gerenciados como SD-WAN para redundância automática.

Posso usar SD-WAN com link 5G como backup?

Sim, e essa é uma das aplicações mais valiosas em 2026 no Brasil. O Sophos XGS suporta módulo 5G opcional (Gen.2) nos modelos XGS 118, 128 e 138, que se torna um link WAN dentro da política SD-WAN. Em caso de queda do link primário de fibra, o tráfego transita para o 5G sem perceptível interrupção.

Quanto custa implementar SD-WAN com Sophos no Brasil?

O custo varia conforme número de filiais, modelo XGS escolhido por site e licenças contratadas. Como referência, o custo total de propriedade em 3 anos para uma empresa com 5 filiais costuma sair entre 40% e 60% do custo equivalente em MPLS, considerando hardware, licença Xstream Protection, links comerciais de internet e serviços de implementação. A vantagem cresce na medida em que mais filiais entram no projeto.

O SD-WAN do Sophos exige licença adicional?

Não. O Xstream SD-WAN está incluído nas licenças padrão do Sophos Firewall (Standard Protection e Xstream Protection), sem custo separado. Esse é um dos diferenciais frente a concorrentes que cobram SD-WAN como módulo à parte. A Xstream Protection é a recomendada para SD-WAN porque inclui inspeção TLS 1.3 acelerada e proteção avançada.

Posso gerenciar SD-WAN de várias filiais em um único painel?

Sim. O Sophos Central oferece gestão multi-firewall em nuvem, com visibilidade consolidada de performance de WAN, status de túneis IPsec, eventos de seleção de link e relatórios de utilização — tudo em um único console.

Quando chamar um especialista em SD-WAN?

Implantações SD-WAN com 2 a 3 filiais simples podem ser conduzidas por times internos de TI com bom conhecimento de roteamento e VPN. Acione um especialista certificado quando:

• O projeto envolve 4 ou mais filiais com topologia full-mesh ou hub-and-spoke complexa.
• Existe convivência com MPLS legado em modelo híbrido.
• A migração precisa ser feita sem janela de manutenção em horário comercial.
• Há integração com aplicações críticas (call center, ERP on-premise, telemedicina) que não podem sofrer perdas.
• O time interno não tem experiência prévia com Sophos Firewall em ambientes multi-site.

Pronto para modernizar a WAN da sua empresa?

A InfoB projeta e implementa Sophos SD-WAN para empresas brasileiras com múltiplas filiais, integrando segurança, performance e gestão centralizada. Avaliamos a topologia atual, dimensionamos hardware para cada site, configuramos perfis SD-WAN otimizados por aplicação e treinamos seu time. Conheça o guia completo do Firewall Sophos para entender a plataforma por completo.