io so che l'HTTP funziona cosi:

il client fa una GET sul server alla porta 80
il server risponde su una porta che ogni volta e' diversa!
percui dal server verso il client NON puoi bloccare le porte in uscita!

controlla se e' lo stesso per il ftp!
apri tutte le porte in uscita e riprova!

il FTP di sicuro NON riponde sulla 21 ... poiche' il client stesso potrebbe avere un servizio ftp sulla 21!

dall'esterno devi aprire la 21, 220, 251 ok..
ma dall'interno della rete.. mi sa che devi lasciarle aperte.. prova!