Eu resolvi usar um script para adicionar o sufixo de domínio via scutil, abrir um terminal e executar:
scutil
open
get State:/Network/Service/yourvpnconnection/DNS
d.add DomainName mydomain.local
set State:/Network/Service/yourvpnconnection/DNS
Parece que a configuração de sufixo DNS não se aplica a conexões VPN criadas dinamicamente, como o cliente VPN SSL forticlient cria. Portanto, esse script configura as opções de domínio de pesquisa para a conexão criada dinamicamente.