Я бы с удовольствием так и сделал и не мучался с опенврт, но к сожалению в роутерос безбожно убогие dns и dhcp-серверы: дхсп лизы в днс через скрипт - ну пусть, ладно, но в днсмаск это базовая фича; в днс нельзя одновременно дох и форварды - в будущем (правда неизвестно, когда выйдет 7) можно пустить днс через вайргвард, так даже лучше. но в днсмаск можно как угодно это всё делать; нельзя указать интерфейс для днс - ладно, можно роутить, либо использовать плохо работающий л7 костыль. в днсмаск это базовая фича, можно что угодно резолвить как угодно; нельзя, как днсмаске, складывать резовлы в айписет, чтобы роутить их через впн - ладно, простые домены можно роутить через адрес листы, но адрес листы работают только с конкретным доменом, без поддоменов и не поддерживают регэкспы.
В опенврт роутинг по доменам делается легко и качественно без каких-либо проблем. Резолвишь домен через впн, кладёшь результат в айписет, роутишь айписет через впн. В микротике же надо изворачиваться и костылить и не каждый кейс выполним.