我后来直接在搬瓦工后台开了自带的安全组，只放行常用端口，省得在系统里折腾防火墙了