Grupos de afinidade não são mais uma coisa . Regiões são o mecanismo de agrupamento agora.
Certifique-se de que suas VMs e VNet estejam na mesma região do Azure (como, por exemplo, Leste dos EUA 2, no meu caso).
Posso conectar-me com êxito à minha VPN (ponto a site) e RDP às minhas VMs de IaaS, sem que nenhum ponto de extremidade seja exposto.