Про отчуждение паролей.

> Круг хостов, с которых dummy-ftp может принимать подключения можно ограничить, и возможность утечки пароля на участке от ftp-клиента до dummy-ftp становится совсем призрачной.

А не проще ли ограничить круг хостов, с которых может принимать подключения сам ftp-сервер, без всех вот этих сложностей? :) Не очень понятно, в чём собственно преимущество по сравнению с введением точно такого же ограничения на этом ретрансляторе.

Или фишка в том, чтобы не выдавать настоящий пароль, вернее чтобы всем давать разный, который потом будет транслироваться в один настоящий? Ну так давайте просто всем разный, на настоящем FTP-сервере. Просто создаём юзеров с разными логинами/паролями, но одинаковыми UID'ами и домашними директориями, и всё.

Основная проблема, с которой и идет борьба, это то, что:

- настоящие пароли воруют трояны
- настоящие пароли попадают кому не попаде за пределами NAT другим способом.

Кстати да, совсем забыл сказать, что ретранслятор сидит за NAT вместе с ftp-клиентами. 

Предложенное тобой увы от этого не спасает.

Естессно, детальная настройка реального ФТП очень часто просто не в нашей власти