Хайде погледни сега стандарта и какво точно означава Passive Mode и сам ще се сетиш защо не може да стане това, което си замислил ... при пасив сървъра отвяря порт за data connection и го подава през controll conection-а на клиента, клиента се опитва да се закачи към този порт ...
Firewall-а ти и хабер си няма кой порт ще реши да отваря фтп сървъра зад него, за да го форуърдне и него ;-) Едно решение е да ограничиш портовете за дата на сървъра и да ги forward всичките към него