Basil A. Sidorov"Настоятельно рекомендуется достаточно большой, например - эфемерный". Сильно другой смысл, не находите?Во-первых, даже один "просто так" открытый порт на брандмауэре - уже плохо, во-вторых, если бы вы прочитали до конца, то увидели бы, что никакая когерентность с брандмауэром не обеспечивается и в случае войны число пи может достигать 4 и более:
http://proftpd.org/docs/directives/linked/config_ref_PassivePorts.html The server will randomly choose a number from within the specified range until an open port is found. Should no open ports be found within the given range, the server will default to a normal kernel-assigned port, and a message loggedТак что нужно оставить свои фантазии о том, что можно как-то более-менее пристойно сконфигурировать ftp.

Basil A. SidorovЕсли вы спокойно перечитаете RFC 959 , то поймёте, что ftp-сервер может обеспечить приемлемую защиту, даже если файервол не умеет работать с этим протоколом.
Да - ценой ограничения числа одновременных подключений.Давайте конкретные ссылки на параграфы, чтобы не пришлось угадывать что вы там имете ввиду (про LIST вы наверное там же прочитали?), если ваш посыл был про статус 421, то для вас есть сюрприз: корреляции между числом одновременных CMD-соединений и DATA-соединений никакой нет - это раз, открытый порт на брендмауэере - суть возможность повесить атакующему reverse shell - это два.

Basil A. Sidorov стр.9 - диаграмма "трёхсторонней передачи" (пересылка между двумя ftp-серверами).
Файервол ftp-сервера не может ограничивать IP-адрес входящего соединения на порт данных.
Даже если файервол ftp-сервера запрещает межсерверные передачи, но легитимный клиент и атакующий находятся за общим NAT-ом - их IP-адреса будут одинаковы без всяких усилий со стороны атакующего.

Таким образом, ftp не является безопасным протоколом, а "умный" файервол не особо улучшает ситуацию.
Опять не в кассу, то о чем вы пытаетесь рассказать называется FXP ( File eXchange Protocol ), который, внезапно, везде запрещен потому что является дырой: https://en.wikipedia.org/wiki/FTP_bounce_attack

Basil A. SidorovКак пример.
ftp-сервер создаёт некоторое число слушающих сокетов и, по мере надобности, сообщает клиентам параметры свободных для передачи данных сокетов.
Будут эти порты открыты только по необходимости или постоянно - на безопасность системы это слабо влияет.Т.е. вместо того, чтобы прописать одно правило на брендмауэре теперь нужно думать о какой-то невероятной фигне: а какие порты указать (не указал ничего - оно забило все ephemeral ports), а что там нужно в ulimit написать, чтобы смогло побольше портов открыть, а если брендмауэр прикрывает несколько серверов, то вообще песня.

Кровавый ДюшесЯ вообще считаю надроч на файрволл глупостью и продолжением windows-мышления. Там то есть файрвол по именам процессов и сервисов, а у вас, уверен по uid ничего не закрыто. Разработчикам мешает сильно, а толку почти ноль.
Чуть со стула не упал.
Разработчика сетевого сервиса спрашивают: а куда твой сервис вообще подключается и для чего?
- идите в жопу, ваши вопросы мне доставляют неудобства!

Кровавый ДюшесВ мире сложных система разработчик качает NPM и не особо понимает как он внутри работает.Прекратите уже, а то мне придется новый стул покупать. Ваш NPM - это помойка, состоящая из бэкдоров чуть более чем полностью: http://blog.npmjs.org/post/163723642530/crossenv-malware-on-the-npm-registry
это какбы вполне ожидаемо, что js-monkeys, не разбирающиеся в своей вотчине, также не могут разобраться с сетевой инфраструктурой, только не нужно называть это "сложные системы": перечислить нужные tcp-порты - это нифига не rocket science