Сломал уже голову. Мне нужно в корпорат сети поднять ftp. Установил на ubuntu vsftpd конфиг ниже. Внутри сети работает всё отлично, удаленные офисы которые подключены по через openvpn тунель вводя в проводнике ftp://10.49.1.*** получают ошибку остутствует доступ к папке убедитесь, что имя файла введено верно и у вас имеется доступ
Даже пароль не спрашивает

Комп с vsftpd находится за nat (шлюз ubuntu) на нем же ipfilter.
Хотя при этом другая подсеть тоже по openvpn подключается нормально.
Вот конфиг:

listen=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=023
dirmessage_enable=YES
use_localtime=YES
xferlog_enable=YES
connect_from_port_20=YES
chown_uploads=YES
chown_username=admin
xferlog_file=/var/log/vsftpd.log
#ascii_upload_enable=YES
#ascii_download_enable=YES
chroot_local_user=YES
allow_writeable_chroot=YES
chroot_local_user=YES
rsa_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
ssl_enable=NO
pasv_enable=YES
pasv_min_port=50000
pasv_max_port=60000
pasv_address=213.108.**

Вот кофиг iptables

#ftp
iptables -A FORWARD -d 10.49.1.166 -p tcp -m multiport --ports 20:21 -j ACCEPT
iptables -A FORWARD -i 213.108.**.*** -p tcp -d 10.49.1.*** -j ACCEPT
#iptables -A INPUT -p tcp --dport 21 -m conntrack --ctstate NEW -j ACCEPT
#iptables -A INPUT -p tcp --dport 50000:60000 -m conntrack --ctstate NEW -j ACCEPT
$ip -A FORWARD -s 10.49.1.166 -p tcp -m multiport --ports 50000:60000 -j ACCEPT

#iptables -t nat -A POSTROUTING -o $EXT_IF1 -j SNAT --to-source $EXT_IP1

Да, wireshark у клиента показывает, что коннект идет на dst порт 32966 почему-то
В логах вообще нет клиентов которые не могут подключаются. telnet с клиента тоже не проходит. Проходит телнет со шлюзов за которым клиенты

Спасибо за поддержку