relief,
советую разобраться до конца, что к чему.
- активный режим: соединение для передачи данных открывает сервер со своего 20-го порта на порт указанный клиентом(произвольный выше 1024)
- пассивный режим: соединение для передачи данных открывает клиент с произвольного своего порта на указанный сервером порт(произвольный выше 1024)

В связи с вышеописанным казалось бы, с точки зрения настройки фаервола, проще использовать активный режим. Но при этом вылазит проблема - к серверу, работающему исключительно в активном режиме, не смогут подключиться пользователи, сидящие за натом.

В итоге для фарвола:
- для обоих режимов, для управляющего соединения: необходимо разрешить входящие соединения по 21 порту
- для активного режима: дополнительно ничего открывать не надо, только убедиться, что фаервол пропускает пакеты, присылаемые в ответ, на отправляемые самим сервером. И естественно исходящие с сервера с 20 порта должны быть разрежены.
- для пассивного режима: разрешить входящие на порты свыше 1024 и ответные пакеты. В ряде реализаций FTP-серверов есть возможность явно указать диапазон портов, используемых для пассивных соединений. Тогда целесообразно его ограничить, скажем свыше 60000, и фаерволом тогда разрешить пакеты только по выставленному диапазону.

reliefпочему будут отсечены те кто за НАТом?
при инициации соединения с сервера в НАТ -таблице будет отсутствовать какая-либо информация о соединении, соответственно пакет не дойдет до клиента за натом.

Anatoly PodgoretskyActive/Passive означает лишь только кто будет открывать порт данных
не только, порты разные используются для второго соединения