Итого, есть два вида обновления: по запросу авто (режим Advanced) и по команде с сервера. У нас не работает только обновление по запросу и сопутствующие операции (renew, redeploy и наверное USB install), в случае же команды с сервера все проходит и без VPN.
Конечно, обновления 2021.32.* относятся к экстренным, там изменена security version до 14, поэтому они приходят так массово. В дальнейшем таких обновлений может быть меньше и наши машины зависнут на пару месяцев, но это как бы не критично.
Вывод такой: хотите быстрее - ставьте VPN, если устраивает ждать месяц-два - ничего не делайте, обновление придет само.