для ipchains (2.2.x) нужен модуль ftp_masq (примерно), для 2.4.x - компили полную поддержку netfilter :) или модулями если ты используешь ipchains и 2.4.x то либо переходи на netfilter либо откатывайся на 2.2.x
ftp запросто может работать в ПАССИВНОМ режиме. Т.е. в простом клиенте ftp надо дать команду passive он должен ответить passive on. В более "продвинутых" клиентах есть настройка, например в far есть галочка passive mode. Этот вариант, пожалуй более защищен, чем установка ftp_masq особенно в связи с тем, что в netfilter недавно находили ошибку именно в этом модуле.