ну там где нет интернета качаешь ручками пакеты, распечатываешь список хешей всех kb, заверяешь у сибов, записываешь на шифрованную флешку. устанвливаешь - профит
ну так можно же иерархию WSUS выстраивать как вам угодно, с репликами и независимыми серверами, также можно использовать даблюсас в изолированных средах (даже статья есть), тем более в рамках одного леса, хотя WSUS он domain-agnostic