Настройка проксирующего DNS

даже dnsmasq с этим справится. но для начала запрети сервису VPN рулить настройками DNS в твоей системе

dnsmasq

Плюсую.

запрети сервису VPN рулить настройками DNS

А это надо было сделать ещё при поднятии VPN.

Хочется: настроить некий локальный dns сервер, который бы пытался зарезолвить домен через несколько dns серверов.

На работе есть локальный DNS сервер

Если у Вас уже есть сконфигурированный локальный DNS сервер, то зачем Вам нужен еще один? Просто используйте его. В том числе и при подключении по VPN. Или я неправильно Вас понял, и в сетях, к которым Вы получаете доступ по VPN, есть свои локальные ресурсы, для которых тоже нужно разрешать имена?

В named примерно так:

zone "some.vpn.zone" IN {
    type forward;
    forward only;
    forwarders { 10.1.1.1; };
};