iptablesの設定で質問です

・固定IPのISPに接続しているルータ (グローバルIP xx.xx.xx.1)
・ウェブサーバ　(NIC1 192.168.0.2 / NIC2 xx.xx.xx.2) Apache
・FTPサーバ　 (NIC1 192.168.0.3) vsftpd
という1台のルータと2台のサーバ(CentOS5)の構成のネットワークがあります。
外部に公開されるIPアドレスはxx.xx.xx.2(ウェブサーバ)だけで、FTPサーバはローカルIPになっています。
この構成は外部から http://xx.xx.xx.2 へのアクセスは可能ですが、当然FTPサーバへアクセスすることはできません。

そこで質問なのですが、
外部から xx.xx.xx.2 にFTPで接続されたとき、192.168.0.3 のFTPサーバを使用させるためには、どうのようなiptablesの設定を行えばよろしいでしょうか？
ウェブサーバにFTPで接続されたパケットのみ、192.168.0.3に転送(NAT)する設定方法です。
なお、vsftpdで使用しているFTPのポートは、20、21、PASVのため固定20000～21000を用いています。
勉強不足で忝いのですが、具体的な設定方法をお教えいただけますようよろしくお願いいたします。

※上記の構成は便宜的な構成です。ルーターでnatすればいい。ウェブサーバにvsftpdを実装すればいい。といったiptablesを用いない解決法は無効とさせていただきます。