Sauf erreur de ma part, bind permet aussi de signer des zones automatiquement (je crois que j'ai même un pendant un certain temps un setup comme ça pour ma zone perso).
Mais dans tous les cas, depuis que j'ai testé knot et unbound, je n'ai plus envie d'utiliser bind.
Déjà, knot et unbound ne font qu'un seul truc par processus, respectivement servir une zone et résoudre des noms de domaines (récursivement) au lieu d'avoir les deux ensembles.
Leur conf est beaucoup plus propre à mes yeux (c'est du YAML dans les deux cas, c'est un peu chiant niveau indentation mais on n'a pas tout qui merde pour un point-virgule oublié) et les deux fonctionnalités ne sont pas dans les mêmes fichiers de conf.
Et niveau sécurité, on a moins souvent des failles importantes pour lesquelles il faut màj rapidement dans les deux que dans bind (en même temps, ils n'ont pas de legacy d'il y a 15 ans, ça aide probablement…)
Si vous utilisez knot sous stretch, je crois qu'il vaut mieux prendre la version des backports.
Juste que ce soit clair, on ne parle que de knot ici, pas de knot-resolver qui fait comme unbound des résolutions récursives (je ne l'ai jamais testé, donc je n'ai pas d'avis dessus).
Et powerDNS est aussi a priori plus pratique que bind et bien séparé en deux process, mais je n'ai pas d'expérience avec DNSSEC et powerdns.