один раз сработало - одноклассники открылись, но про вконтакт продолжает писать что родительский контроль
если на обычной машине прописать гугловские ДНС, то переадресация срабатывает, адрес в адресной строке меняется, но дальше говорит что заданный узел недоступен

вся проблема в том, что у микротика днс запрашивает контроллер, а кто попросил у контроллера - неизвестно. поэтому буду на днях пробовать вариант с двумя dns серверами
итак, что получилось в результате:
1. поднял второй DC (DC2) и на нем DNS (все равно он нужен, хотя бы для резервирования), в этом DNS прописал пересылку на 2го провайдера
2. в основном DC прописал пересылку на первого провайдера
3. добавил в dhcp зону с фиксацией, она раздает адреса на випов и проставляет у них DC2 в качестве основного DNS
4. в основной зоне dhcp (для смертных) проставляется DC1 в качестве основного DNS

при такой схеме все работает, спасибо за подсказки