Туплю... Безбожно туплю...
Настроена локальная сеть 192.168.1.X/255.255.255.0
192.168.1.1 - сам роутер.
192.168.1.2 - сервак.

В Advanced => Virtual Server стоят галки напротив Virtual Server FTP и HTTP и прописан в качестве приватного сервака 192.168.1.2.

Вопрос: как сделать, чтобы при обращении к FTP серверу из вне, он работал нормально в пассивном режиме?
На запрос
PASV
отвечает
227 Entering Passive Mode (192,168,1,2,109,192)
В итоге никто подцепиться не может.

Когда же я из своей локалки стучусь во внешний мир и посылаю, к примеру
PORT 192,168,1,3,123,2
то соединение со стороны сервера проходит нормально.

Где крутить, куда копать?

по ftp - 20 (ftp data) и 21 (ftp) порты - кажись так
сделай на 20 порт - мапинг поидее должно номано быть

сходи по ссылке так хорошо человек ответил

прописал...

но встает вопрос, как клиент должен инициализировать этот порт?
какой командой заворачивать туда и тд и тп...
в логах отчетливо видно, что логонятся, запрашивают тип системы, а потом шарашат пассивный режим.

либо туплю, либо одно из двух

в итоге я начал смотреть в сторону DMZ, но обнаружилась интересная баго-фича:
WAN интерфейс смотрит в провайдерскую сеть и имеет, скажем, адрес aaa.bbb.ccc.ddd
В LAN есть ряд машин с адресами 192.168.1.0/255.255.255.0
192.168.1.1 - роутер 824VUP+
192.168.1.2 - сервак (DNS, HTTP, FTP, MySQL...)
все остальные в 192.168.1.X - клиентские машины.

у FTP в настройках прописано притворяться aaa.bbb.ccc.ddd, в итоге PASV из вне проходит на ура, все работает
однако, если клиентом законнектиться на сервак по 192.168.1.2 и там набрать PASV, то он нас посылает на WAN интерфейс, а тот, в свою очередь, не хочет нас пускать обратно на сервак. Как быть, что делать?

в ссылке что я давал написано , что клиентская прога через 21 порт
управляет данными идущими через 20 порт

должно выглядеть примерно так:
Name || Private IP || Protocol || Schedule
ftp || 192.168.1.2 || TCP 21/21 || Always
ftp_data || 192.168.1.2 || TCP 20/20 || Always
http || 192.168.1.2 || TCP 21/21 || Always

вопрос в другом тогда, как клиента/сервер заставить работать через этот порт.
на сколько я знаю, все ломятся в незарезервированную область портов.

Почитав TFM родилось следующее:
На серваке прописываем, что он у нас будет претворяться aaa.bbb.ccc.ddd, а также диаппазон адресов, в пределах которого он будет ожидать соединения в пассивном режиме.
На роутере прописываем Virtual Server FTP-Data с маппингом этого диапазона. И вуоля, все работает.