Tak ještě doplním, že věc se podařila. Řekl jsem si, že když už, tak už a místo BINDu jsem si nakonfiguroval knot, ať jsme značkoví, že
Nakonec jsem skutečně musel unbound i knot nakonfigurovat tak, aby oba poslouchaly na rozdílných rozhraních, protože v rámci IPv4 sice moje teorie fungovala, ale problém byl na IPv6, kde se na úrovni firewallu přesměrování portů neaplikuje - nechtěl jsem navíc tvořit konfiguraci nezávislou na LuCi.
Takže konfigurace unbound:

    list interface 192.168.1.1 #LAN adresa
    list interface 127.0.0.1 #localhost
    list interface 2001:470:6F:***::1 #routovaná "interní" IPv6 adresa

Konfigurace knot:

    interfaces {
      wan_ipv4 {
        address 192.168.0.2;
        port 53;
      }
      wan_ipv6 {
        address [2001:470:6e:***::2];
        port 53;
      }
    }

Dotaz z Turrisu na moji doménu jsem pak ještě musel vyřešit určitou oklikou. Turris má totiž na WAN portu nakonfigurovanou privátní adresu a je v DMZ (tzn navenek má veřejnou IP). Kdyby se tedy dotazoval veřejné adresy, kterou navenek má, packet by se nepřesměroval na něj, ale na router před ním. V mém případě je tak master samotný Turris a data posílá na slave v Internetu. Slave je ovšem ns1 (primární), takže Turris se pak nedotazuje sám sebe.

Každopádně ještě jednou díky za pomoc. Snad budou mé poznámky alespoň trochu užitečné.