Nach meinen Informationen schleust das Android-System nur eine Art Verbindung an jeglichen VPNs vorbei: Den Captive-Portal Check (wofür es gute Argumente gibt).
Andere VPNs haben meines Wissens kein Problem mit DNS-Leaks, sodass das Problem tatsächlich an NetGuard liegt. Solche Leaks und Fallstricke habe ich schon selbst bei NetGuard beobachtet, bevor ich es heruntergeschmissen habe.
So nutzt NetGuard standardmäßig Google DNS Server als Fallback wenn man keine eigenen einrichtet. Leider wird bei jedem Verbindungswechsel kurz der Fallback genutzt, bevor der Netzwerkeigene DNS-Server verwendet wird.