Я у себя такую штуку делала.
Заработало все с такими строками:
nat запускаем с параметрами.
/sbin/natd -redirect_port tcp 192.168.1.200:21 21 -redirect_port tcp 192.168.1.200:20 20 -n rl0

в фаере:
allow tcp from any to any dst-port 20,21
allow tcp from any 20,21 to any

Долго мучалась, пытаясь зайти - ничего не получалось. Дело в том, что если проверять из локальной сети, эти правила не отрабатывают.
Проверять только из какой-то внешней сети надо... или вообше с другого провайдера.