En gros pour ouvrir un FTP en mode actif, il suffit que le port 21 soit forwardé vers le serveur FTP du LAN. En effet, la session TCP sur le port 20 du serveur est initialisée par lui-même.
Pour le mode passif, c'est plus compliqué : il faut déjà que ton serveur FTP soit "paramétrable" au niveau des ports passifs de retour (c.f. le lien que j'ai donné dans mon post précédent) ; tous ne le permettent pas (à ma connaissance, seul RaidenFTPd te propose ce genre de chose). ensuite, on définit sur ce même serveur la plage de ports dans laquelle le serveur va "taper" et retourner au client FTP, par exemple de 10000 à 11000. Enfin, on ouvre cette plage d'adresse sur le firewall et on fait pointer celle-ci sur le serveur FTP en question.
Cette méthode marche très bien pour les firewalls dits "personnels". Quand on tape sur du Cisco PIX ou du Firewall1 CheckPoint, en général, c'est géré dynamiquement par le firewall (le pare-feu "suit" la discussion FTP entre le client et le serveur et ouvre dynamiquement les ports qui vont bien pendant la durée de la transaction)