关于安全组验证顺序的疑问

[yinhao]

我在书上看到，用户访问虚拟机实例的过程，首先经过安全组的验证，然后经过物理机hypervisor的防火墙，最后通过虚拟机实例的防火墙验证的。虚拟机实例响应用户请求则恰好反过来。
然后我的问题是：为什么是先经过安全组再通过物理机防火墙，安全组不是虚拟路由器的功能么，那么虚拟路由器在物理机上，应该是先通过物理机防火墙，再经过虚拟路由器啊，这个地方不是太懂，刚接触cloudstack，希望大家有空能帮忙解释一下，万分感谢，学习了！！！

from my huawei phone