[El Scorpio]

то есть у меня локальная машина(VMWARE), в ней всегда поднятый инет(по NAT). »

В смысле, нужно ограничить интернет на виртуальной машине, которая к реальной сети подключена через NAT виртуализатора?

В любом случае, можно сделать так
1. Ввести параметры сети вручную, убрав "маршрут по умолчанию"
2. Прописать статические маршруты на адреса серверов VPN и DNS (если подключение будет по имени).

а можно договориться с админом DHCP-сервера »

Тогда уж проще сразу попросить его об ограничении выхода в интернет путём создания правил на маршрутизаторе.
Кстати, если NAT-маршрутизатор свой, достаточно просто прописать в его файрволле два правила:
1. Запрет на все подключения с этого локального адреса
2. Разрешение на подключение к адресам, требуемым для поднятия VPN