系统：CentOS6.2
软件：vsftpd, iptables
安装完系统后，默认的iptables的规则只允许状态为RELATED、ESTABILISHED的包和SSHD的数据包进入服务器，当安装好vsftpd后，通常需要在iptables上面放开21端口，完整的iptables配置如下：
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -j REJECT --reject-with icmp-host-prohibited
在这样的规则下面，客户端能否正常登录到FTP服务器上进行文件的上传和下载呢，测试过程如下：
此例中，FTP服务器IP地址为192.18.2.75，iptables配置如下：
客户端使用Filezilla Client进行连接，效果如下图：
上图中，服务器要求使用被动模式(PASV)连接，从图上可以看出，服务器监听端口44892(175*256+92)等待客户端的连接，但iptables的规则阻止访问该端口，所以连接失败。
将Filezilla配置为主动模式，如下图：
连接服务器：
可以看出连接成功。
因此，在上面的iptables规则下，只能使用主动模式连接。