Eu usei o strongswan para o ipsec no Ubuntu. É um pouco irritante para uso pessoal, mas de maneiras que sugerem que é mais adequado para servidores:).
Presumivelmente, você não se importa que sua máquina host possa se conectar ao Azure (bem como às VMs que hospeda).
Em seguida, usar uma rede virtual roteada (em oposição à ponte usual) funcionaria bem ... com uma advertência gritante. link
f você está passando de uma rede em ponte para roteada, o que significa que não há mais comunicação de LAN- > VM, não sem configuração extra. Isso está ficando tautológico, mas você precisa configurar o roteador para rotear o tráfego da VM em direção ao host.
Eu não acho que haja uma maneira sensata de contornar isso. Portanto, supondo que você deseje uma comunicação LAN- > VM, você ainda terá que reconfigurar seu roteador. (Você só não terá que fazer isso para fazer ipsec).