Всё проще оказалось, Wireguard умеет делать PostUp / PreDown и там можно переключать DNS с помощью resolvectl