在nftablesinput中有以下规则：
tcp dport 21 ct state established,new counter accept tcp dport 20 ct state established,related counter accept tcp dport 1024-65535 ct state established,related counter accept 被动FTP连接可以login，但不能build立数据连接。
在最近的内核（> 4.7）中，需要加载以下模块：
modprobe nf_conntrack_ftp
并启用帮手：
echo 1> / proc / sys / net / netfilter / nf_conntrack_helper