Доброго времени суток!
Помогите, пожалуйста, решить проблему следующего характера.
Имеется сабжевая железка, работающая маршрутизатором для внутренней сети по одному интерфейсу и смотрящая в инет другим интерфейсом.
Задача: настроить фаервол на ней так, чтобы максимально закрыть порты из локальной сети и внутрь ее, но оставить рабочими основные службы и сервисы.
Проблема: решено всё, кроме работоспособности фаервола для внешних фтп в пассивном режиме. Активный режим работает. Вот как сделать на этой железяке, чтобы рандомные порты для фтп-соединения открывались только для инициатора сессии фтп?
То есть, очень не хочется открывать во внешнюю сеть все порты больше 1024 для всех.

Пробовал ковырять ASPF, но не заработало так, как надо. Возможно, не понял идею и суть.

Заранее благодарен за подсказки, направления в нужную сторону!