Werden denn Pakete markiert?
iptables -A POSTROUTING -t mangle -o ppp0 -p tcp --dport 21 -j LOG --log-prefix="FTP EXT UP:"
Die Pakete müssten dann im kern.log auftauchen...
Wobei hier meiner Meinung nach nur Traffic markiert wird, von hier aus auf einen anderen FTP-Server geschoben wird, nicht jedoch der Traffic, der von einem FTP-Server auf dem Linux-Rechner selbst heruntergeladen wird.
Weiter meine ich mich erinnern zu können, dass auf Port 21 nur die Steuerkommunikation stattfindet, der eigentliche Datentransfer auf Port 20, je nachdem, welcher Übertragunsmode gewählt wird (Aktiv/Passiv), ich kann mich aber auch irren ...
Edit: Da fällt mir auf:
Wieso "handle 11"? Müsste hier nicht "handle 14" stehen?