Alcuni protocolli non amano subire il NAT. Per ciascuno di questi protocolli bisognerebbe scrivere due estensioni, una per il "connection tracking" e una per il NAT.
Nella distribuzione di netfilter ci sono al momento dei moduli per ftp: ip_conntrack_ftp.o e ip_nat_ftp.o. Se carichi questi moduli (o se sono compilati nel kernel), ogni tipo di NAT effettuato sulle connessioni ftp dovrebbe funzionare. Altrimenti, potrai utilizzare solo ftp passivo, e perfino questo potrebbe non funzionare correttamente se si sta facendo qualcosa di più del semplice Source NAT.