polozad

FTP-протокол использует более одного порта.
21 - это "управляющее соединение" (Control Connection).
Для передачи данных (вывод списка тоже относится к этому) используется отдельное соединение, которое называется "Data Connection".
В активном режиме инициатором этого соединения является FTP-сервер. На какой адрес и порт соединяться - сообщает клиент при открытии соединения. В настоящее время использовать такой режим передачи не рекомендуется.
В пассивном режиме инициатором соединения является клиент, а адрес и порт (динамический, меняется) сообщает FTP-сервер.

Нужно включать более подробное логгирование в FTP-клиенте, чтобы выводились команды, посылаемые на FTP-сервер и получаемые ответы.
Ну и проверить, не запрещено ли где-то соединение на порты, отличные от 21-го.

В принципе можно засунуть куда угодно, UNIX-way и всё такое :-) Но вообще принято класть в /var/www/domain.

Причём, если позволяют используемые приложения, желательно скрипты положить так, чтобы они лежали отдельно от статики и не могли быть никак доступны извне. Например, скрипты прямо в /var/www, а статика в /var/www/static и в DocRoot сервера прописан именно /var/www/static.

Смысла нет ну совсем. Вам "домашний" канал забьют даже один-два казуальных "хакера".

Ищите нормальный хостинг с защитой от DDoS. CloudFire там, qrator.net/en, вот эти вот все.