如何基于虚拟机的防火墙限制（安全组颗粒太大了）？

安全组就是针对port做的，在物理机上iptables实现，这个粒度针对到每个虚机的port。或者可以考虑用f5之类的第三方软件来做。