假定eth0为外网网卡
iptables -A INPUT -i eth0 -p tcp -s any/0 --sport 21 -d 192.168.0.0/24 --dport 1024:65535 -j ACCEPT
iptables -A OUTPUT -i eth0 -p tcp -s 192.168.0.0/24 --sport 1024:65535 -d any/0 --dport 21 -j ACCEPT
这样是放开了对外网21端口的访问，同时也开放了一条传输控制指令的通道。
如果是单独的包过滤防火墙，则必须静态开放端口，这样就不能对主动被动FTP分别进行限制，必须明显地开放20的双向访问权限。
