FTP é um protocolo horrível. Ele usa duas portas - uma para comandos e outra para dados. Isso torna notoriamente difícil para o NAT, já que um roteador precisaria analisar o canal de comando e descobrir que uma segunda conexão é esperada para esta conversa FTP. Fazer isso é feio, mas também a única maneira de fazer o NAT funcionar com o FTP.
FTPS criptografa o canal de comando, impossibilitando, assim, que qualquer roteador inspecione os pacotes e descubra onde o canal de dados será. Obviamente, isso significa que não será capaz de explicar isso; Assim, quando o seu canal de dados é iniciado pelo cliente (conforme exigido pelo PASV), seu roteador NAT não saberá o que fazer com ele. Não é possível corrigir isso, devido à maneira como o FTP funciona.
Diga não ao FTP e use SFTP ou algo do tipo (que transfere arquivos por um túnel SSH e, portanto, requer apenas uma conexão TCP). A maioria dos clientes FTP gráficos também tem suporte para SFTP, atualmente.