проброс FTP по нестандартному порту за iptable

а POSTROUTING? Если не ошибаюсь, то так:

iptables -t nat -I PREROUTING -p tcp -d 127.0.0.1 --dport 17721 -j DNAT --to-destination 127.0.0.2:17721

iptables -t nat -I POSTROUTING -d 127.0.0.2 ! -s 127.0.0.1 -j SNAT --to-source 127.0.0.1

где 127.0.0.1 адрес текущего сервера, 127.0.0.2 адрес сервера, куда вы хотите пробросить трафик.

Evas, а без явного указания внешнего адресата?

Используйте пассивный режим. Как видим, проброс контрольного соединения у вас получился.

"Чудо", которое позволяет обычному nat-у в linux обрабатывать ftp в активном режиме, не реагирует на управляющее соединение на порту отличающемуся от 21. Поэтому, обычно все чудесно работает до момента, когда нужно подумать.

Модулю, реализующему это чудо, нужно передавать параметры при загрузке. например так : modprobe nf_conntract_ftp ports=17721

Filezila может работать и по sftp, т.е. достаточно пробросить только один ssh порт для работы шелом и sftp.

а фтп - похоронить.

Попробуйте включить модуль:

modprobe ip_nat_ftp

Может заработает, но нет уверенности, что он отслеживает подключения на нестандартном порту.

sftp - тормозной

Да ну? Что-то не замечал...