Très bonne lecture : http://slacksite.com/other/ftp.html

En succint :

FTP utilise 2 canaux de communication : commande (C) et données (D). FTP n’utilise que du TCP, jamais d’UDP.

Mode actif

En mode actif, le client contacte le serveur via le canal C. Le serveur est alors autorisé à lui répondre via le même canal.

Le serveur contacte ensuite le client sur le canal D. (le serveur initie la connexion, il est actif).
Le client n’ayant “rien demandé” sur ce canal, le message est très probablement rejeté (par le pare-feu ou routeur du client).

Mode passif

Pour palier à ce problème, lorsque le client initie la connexion sur le canal C, il dit “PASV” (un genre de “j’ai besoin qui tu sois passif, tu n’arriveras pas à me joindre sinon”).
Le serveur crée alors une nouvelle “ouverture” pour le canal D, dont il informe le client, et c’est à nouveau le client qui initie la connexion sur le canal D.

Le serveur est passif, en ceci qu’il n’est à l’origine d’aucune connexion.

Plus de détails

En mode actif, les ports des canaux C et D par défaut sont :

• serveur : 21 et 20
• client : 2 ports random >1023 (N et N+1)

Côté serveur, il me semble que seul le port 21 a besoin d’être ouvert dans le pare-feu/routeur.

A compléter

En mode passif, il faut définir une fourchette de ports qui pourront être utilisés par le serveur pour recevoir des connexions (apparemment 1 port par connexion pourrait ne pas suffire).
Il faut ouvrir ces ports dans le pare-feu/routeur.

Une explication de pourquoi le serveur n’utilise pas le port 20 en mode passif.
En gros, dans le canal de données, rien n’identifie le client à part le port utilisé.