Как я могу использовать nftables с пассивным FTP?

Ниже приведены правила разрешения пассивного FTP, которые не работают.

/ proc / sys / net / netfilter / nf_conntrack_helper установлен в 1

Модуль nf_conntrack_ftp загружен.

Что может блокировать это? Мне действительно нужен счетчик? Действительно ли мне нужна линия tcp dport 1024-65535, если я уже разрешаю установление связанных соединений с установленным состоянием ct, связанной строкой приема?

table inet myhelpers {
        ct helper ftp-standard {
                type "ftp" protocol tcp
        }
    chain input {
                type filter hook prerouting priority 0;
                tcp dport 21 ct helper set "ftp-standard"
        }
}
table inet filter {
        chain input {
                type filter hook input priority 0; policy drop;


                ct state established,related accept

                # passive FTP
                tcp dport 21 ct state established,new counter accept
                tcp dport 20 ct state established,related counter accept
                tcp dport 1024-65535 ct state established,related counter accept

        }
}