FTP и iptables ?

svyatogor@svyatogor svyatogor $ cat /etc/services | grep ftp
ftp-data        20/tcp
ftp             21/tcp
tftp            69/udp
sftp            115/tcp
venus-se        2431/udp                        # udp sftp side effect
codasrv-se      2433/udp                        # udp sftp side effect

Не подходит ...

так как 100% изветсно что нать открывать 4000`й порт ... а в service по этому вопросу пусто!

Так как бы точно узнать?

Ну у меня работает pure-ftpd. Открыт только 21 порт (для него). А в конфигурации ядра для ftp в разделе "IP: Netfilter Configuration" указано:

CONFIG_IP_NF_CONNTRACK=y
CONFIG_IP_NF_FTP=y
CONFIG_IP_NF_MATCH_HELPER=y
CONFIG_IP_NF_MATCH_CONNTRACK=y

А потом:

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j accepted

Таким образом, ядро пропускает связанные с ftp дополнительные соединения.

у меня vsftpd passive mode (60000-64000) и открыты 21 и те что для ftp-data. Но не знаю насколько правильно ли это...

Правильно -A INPUT -p tcp --sport 60000:64000 --dport 60000:64000 -m state --state ESTABLISHED,RELATED -j ACCEPT

правильно - загрузить (или вкомпилить в ядро) ip_conntrack_ftp и забить на port-range , оставив только estableshed,related безотносительно номера порта.