Correto: você acessará sua máquina virtual do SQL Server por meio de seu nome de DNS público e precisará configurar a segurança do banco de dados de acordo. Você não pode configurar uma rede virtual, já que este não é um recurso suportado de sites, e você não poderá contar com as ACLs de endpoint (apresentadas esta semana), já que não há nenhum VIP atribuído para sites.
O tráfego não lhe custará nada, desde que a implantação dos Sites e a implantação da Máquina Virtual estejam no mesmo data center.