FTP命令端口21，接收数据端口20？

favorit

防火墙内部网络有一个FTP服务器，包经过防火墙要做NAT，如：
iptables -t nat -A PREROUTING -p tcp -d 192.168.0.107 --dport 21 -i eth0 -j DNAT --to 192.168.0.7
其中192.168.0.7是Real_FTP，192.168.0.107是地址转换后的IP，eth0是外部网络接口，eth1是内部网络接口
是否对出去的包也应该做NAT？如：
iptables -t nat -A POSTROUTING -p tcp -s 192.168.0.7 --sport 21 -o eth0 -j SNAT --to 192.168.0.107

而且只允许外部网络对FTP服务器访问，不允许该服务器访问外部网络，但是tcp的连接是双向的，如果是这样的话，怎么控制Web服务器不能访问外部网络呢？
偶是刚接触iptables，希望大家指点一下