Thiết lập VPN giữa mạng nội bộ của công ty và Azure (site to site)

Tôi cần thiết lập VPN giữa mạng nội bộ của công ty và Azure
Route mạng nội bộ: DrayTek Vigor 2925
Gói mạng Internet: IP động (trong trường hợp bắt buộc phải dùng IP tĩnh tôi có thể đăng ký thêm)

Azure chạy các dịch vụ:
+ Azure Function (Web Service)
+ Virtual machine

Máy chủ ở mạng nội bộ chạy các dịch vụ
+ Web Service

Mục tiêu:
+ Các dịch vụ từ Azure có thể truy cập vào các dịch vụ ở mạng nội bộ mà không cần public các dịch vụ ở máy chủ trong mạng nội bộ ra Internet
+ Các dịch vụ từ máy chủ trong mạng nội bộ có thể truy cập các dịch vụ trên Azure, nhưng từ ngoài Internet không truy cập được các dịch vụ trên Azure