risolto con un banale modulo del kernel che ho scoperto di dover attivare: # modprobe nf_conntrack_ftp ..e io che mi accanivo sulle regole :)