A algunos protocolos no les gusta pasar por NAT. Se deben escribir dos extensiones para cada uno de ellos; uno para el seguimiento de las conexiones de ese protocolo, y otro para el propio NAT.
Junto con la distribución de netfilter, hay módulos para el ftp: ip_conntrack_ftp.o e ip_nat_ftp.o. Si inserta estos módulos en el núcleo (o los compila de forma permanente), entonces podrá hacer NAT sobre conexiones FTP. Si no lo hace, entonces sólo podrá utilizar FTP pasivo, e incluso eso no será del todo fiable si hace algo más que un sencillo Source Nat.