Можно ли реализовать следующую схему WSUS?
 

Итак, есть локальная сеть.
Есть также сеть VPN, в которой находится контроллер домена. Там есть свой WSUS. Обе сети соединяются через интернет.

Можно ли поставить WSUS в первой локальной сети так, чтобы он не цеплялся к доменному WSUS в VPN-сети? И чтобы компьютеры первой локальной сети брали обновления именно из локального WSUS, а не из доменного?

Легко.
Создайте для нужных ПК политику которая будет указывать им на свой WSUS.

У меня нет доступа к политике домена.

Это одноранговая сеть, клиенты не в домене?

Если ваши клиенты и WSUS не в домене вам необходимо настроить обновления через реестр или через Local Group Policy Editor

Подробнее описано тут