dipende da router a router. PErchè alcuni danno la priorità al NAT, altri al firewall. In questo caso il router sa che deve nattare la porta 21 al tuo server ftp, ma il firewall se vede una chiamata proveniente da internet(WAN) sulla porta 21 te la blocca.

Naturalmente la stessa cosa vale per le altre porte

Sei costretto a tenerla disabilitata questa opzione.

CIAO