Как правильно организовать WSUS обновления через GPO

Здравствуйте.
Очень нужна ваша помощь, совет!
Есть парк из 1000 компьютеров (десктопы, ноутбуки)
Место нахождения в разных городах, в которых своя подсеть. В AD компы так же раскиданы по контейнерам с городами.
На данный момент обновляется только один город, компы и ноуты в одной группе, управление с помощью консоли WSUS (т.е. из unassigned в ручную переношу + есть тестовая группа)

Необходимо подключить к WSUS другие города, но не уверен что будет удобно видеть их все в одной куче, хотя апдейты для всех планируются одинаковые .. Можно конечно из unassigned вручную, постепенно перенести все ноуты в ноутбуки, все компы в компьютеры, но каждый раз следить за этим не хочется.

1й Вариант - минимум, что бы компы разделялись по группам (десктопы, ноутбуки) и попадали, согласно имени в определенную группу. Как это можно сделать через GPO? Все ноуты и компы имеют несколько неизменяемых символов в именах. Может по ним сделать группировку? Как это можно реализовать?

2й вариант, что бы согласно нахождению компьютера в контейнере AD, он автоматом попадал в одноименную группу на WSUS (их можно создать руками)

3й - Определять подсеть и добавлять в нужную группу (город). Но здесь загвоздка, ноутбучники могут использовать VPN и там подсеть будет отличаться.

ЗЫ При управлении компьютерами через GPO остается ли возможность распределять некоторые вручную в отдельные группы?

Заранее спасибо!