ルータのポリシーがよく分からない

ＮＥＣ製ＡＤＳＬモデムAterm WD634GV で、ルータのパケットフィルタの設定方法がよくわからない。

とくにFTPのクライアントをPASVモードで使ときのポリシーがとくに（？A？）なのである。
だって、クライアント側も鯖側も1024-65535までランダムにＴＣＰ接続ポートが変化するよね。

普通ならば、自アドレスの発呼を阻止するためフィルタルールは全てフィルタする。
プライベートアドレスから1024-65535のＴＣＰ発呼を許す。
ということになるのだろうけど・・・・

順方向、逆方向とも1024-65535/TCPを開放しちゃうとTCP接続のポリシーがかなり甘くなっちゃう。

さぁ、どうしましょう。