Понять FTP; Активный / пассивный с межсетевыми экранами и NAT

У меня есть несколько основных вопросов о FTP с межсетевыми экранами и NAT, надеюсь, кто-нибудь мне поможет :)

Я разделил их по разным сценариям:

Активный FTP без NAT

Настроить:

Сервер 1.2.3.4, порты по умолчанию; Клиент 1.2.3.5, порты: 3141 (cmd), 3142 (данные)

Клиент: 3141 подключается к серверу: 20

Сервер: 20 ответов на Клиент: 3141

Сервер: 21 подключается к клиенту: 3142

Как это обычно решается на практике? Я могу думать о следующих возможностях:

• Клиентский брандмауэр помнит, что было соединение с командой FTP, и поэтому открывает порт 3142
• Клиентский брандмауэр помнит, что было соединение с командой FTP, и поэтому разрешает все соединения от 1.2.3.4:21 до 1.2.3.5:3142
• Брандмауэр клиента разрешает все соединения от x.x.x.x: 21 до 1.2.3.5:3142

Во всех этих решениях я предполагал, что клиент всегда будет использовать два последовательных порта - правда ли это?

Активный FTP с NAT

Настроить:

Сервер 1.2.3.4 порты по умолчанию; Клиент 192.168.0.2, порты 3141, 3142; Маршрутизатор, 1.2.3.5 и 192.168.0.1

Клиент: 3141 подключается к 1.2.3.4:20 через 192.168.0.1

Сервер: 20 ответов на 1.2.3.5:ARBITRARY - доставляется на 192.168.0.2:3141, так как есть SNAT

Сервер: 21 подключается к 1.2.3.5:(ARBITRARY+1) - откуда роутер знает, кому принадлежит этот пакет?

Пассивный FTP с NAT

Сервер находится за маршрутизатором - откуда маршрутизатор знает, что пакет, полученный на произвольный порт, предназначен для FTP-сервера? (и, следовательно, как маршрутизатор знает, что этот пакет не следует отбрасывать)

И почему пассивный FTP использует произвольный порт на сайте сервера для передачи данных? Почему не 21 порт?

Надеюсь, вы понимаете мои вопросы и мне кто-нибудь поможет :)

Спасибо