подскажите плиз, как должен быть настроен virtual server, чтобы "снаружи" могли пользоваться внутренним ftp-серверов в пассивном режиме?

возможно использование UnPNP.
Посмотрите поиском, это уже обсуждалось.

На комп с FTP сервером "пробрасывается" FTP порт (обычно 21) и весь диапазон портов пассивного режима (он есть в настройках сервера FTP)

Что то вроде: (у меня DI-724P+)

Name FTP server
Private IP 192.168.1. 5
Protocol Type TCP
Private Port 21
Public Port 21
Schedule Always

жмем Apply

Name FTP pasv
Private IP 192.168.1. 5
Protocol Type TCP
Private Port 5001-5021
Public Port 5001-5021
Schedule Always

жмем Apply

Плюс к всему - мне в настройках FTP-сервера (Gene6) пришлось указать внешний IP-адрес (или hostname, если IP динамический) в параметре Redirect PASV IP - иначе подключение не проходило.

Ну и ещё может понадобиться отключение FTP ALG в NAT-роутере. Или если нет отключения, то настройка его на "ложный порт", например, 1. У меня так было с Speedtouch 500 - он криво транслировал параметры, уже выставленные FTP-сервером под внешний интерфейс.

Это так для IE и некоторых FTP клиентов.
Но другие FTP клиенты умеют сами заменять IP-адрес на внешний (SmartFtp).

alexanderm, это по стандарту так надо, в смысле, что надо чтобы было правильно, а именно адрес, выдаваемый сервером, соответсвовал тому, куда должен подключиться клиент. А эта "фишка" в SmartFTP может понадобиться только если иначе не получается.