O modo ativo e passivo se comunica de forma diferente.
No modo Passivo, o computador se conecta à porta 21 e faz uma segunda conexão de saída com o servidor para transferir dados.
No Modo Ativo, o computador se conecta à porta 21 do servidor e o servidor se comunica da porta 20 para o computador.
Isso tudo significa que o modo passivo é mais fácil de programar, porque firewalls simples e gateways NAT tendem a permitir que qualquer coisa saia da rede, mas apenas conexões relacionadas retornam. No caso de uma conexão de modo ativo, o roteador precisa fazer o rastreamento de conexão para associar as duas conexões, e isso está falhando. Você quase certamente está se deparando com esse problema.
Além do encaminhamento de porta, você precisará carregar os módulos de rastreamento de conexão (e provavelmente rastreamento de conexão FTP). Isso irá variar dependendo do seu sistema operacional host, mas pode ser nf_conntrack_ftp ou nf_nat_ftp no Linux.