ftp+ipchains

Здравствуйте.
Проблемка такая. Подняты интерфейсы
ifconfig eth0 192.168.1.1 netmask 255.255.255.0 up
ifconfig eth0:0 192.168.3.1 netmask 255.255.255.0 up
ifconfig eth1 211.211.211.211 netmask 255.255.255.0 up
ifconfig eth2 192.168.2.1 netmask 255.255.255.0 up
eth1 211.211.211.211 - это я для примера. Там реальный IP, смотрит на провайдера Internet. Клиенты подсетей 192.168.1.0 и 192.168.2.0 ходят в Internet по ftp в passive mode нормально, а клиенты подсети 192.168.3.0 - не могут. Сижу за файерволом ipchains и подозреваю, что проблема - в нём. Вопрос - как её решить?
Цепочки ipchains для ftp, которые у меня есть:
ipchains -N bad_if
ipchains -A input -i eth1 -j all_inp
ipchains -A input -i eth1 -p tcp --dport 20 -j ACCEPT
ipchains -A input -i eth1 -p tcp --dport 21 -j ACCEPT
ipchains -A forward -j MASQ -b -s 192.168.0.0/255.255.0.0 -p tcp -d 0.0.0.0/0 21
ipchains -A forward -j MASQ -b -s 192.168.0.0/255.255.0.0 -p tcp -d 0.0.0.0/0 20
ipchains -A bad_if -p tcp --dport 20 -j ACCEPT
ipchains -A bad_if -p tcp --dport 21 -j ACCEPT
ipchains -A output -p tcp -d 0.0.0.0/0 ftp -t 0x1 0x10
ipchains -A output -p tcp -s 0.0.0.0/0 ftp-data -t 0x1 0x8
Система - RedHat Linux 7.3.
Не подходят соображения типа "переходи на iptables" (работающий сервер, не допускающий экспериментов) и "читай HOWTO" (читано неоднократно).
Спасибо откликнувшимся.
PS. К сожалению, ответы увижу только 21.07.03, поэтому интерактивного общения до указанного числа не получится.