По моему стоит упомянуть о загрузке модулей ip_nat_ftp ip_conntrack_ftp, без них passive mode при использывании фаервола не будет работать.