1、开放21、20端口

# iptables -A INPUT -p tcp --dport 20 -j ACCEPT
# iptables -A INPUT -p tcp --dport 21 -j ACCEPT

如果OUTPUT默认也是DROP，那么还需要添加一下规则。

# iptables -A OUTPUT -p tcp --sport 20 -j ACCEPT

2、接受所有状态为ESTABLISHED、RELATED的连接

# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

3、配置iptables

# vi /etc/sysconfig/iptables-config

找到IPTABLES_MODULES，取消注释，添加ip_conntrack_ftp模块，保存。ip_conntrack_ftp模块可以让iptables支持被动模式的ftp连接。

IPTABLES_MODULES="ip_conntrack_ftp"

4、保存iptables规则、重启。

[root@iZ94myad6wkZ ~]# service iptables save 
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]
[root@iZ94myad6wkZ ~]# service iptables restartiptables: Setting chains to policy ACCEPT: filter nat [ OK ]
iptables: Flushing firewall rules: [ OK ]
iptables: Unloading modules: [ OK ]
iptables: Applying firewall rules: [ OK ]
iptables: Loading additional modules: ip_conntrack_ftp [ OK ]

重启iptables是多了个加载模块的地址，ok正常。