Azure site-to-site VPN с локальной VPN

Я успешно (почти) настроил соединение Azure site-to-site vpn с брандмауэром Пало-Альто (успешно создал туннель, и статус в Azure подключен), но .. я не могу получить доступ к частному IP-адресу виртуальной машины. У нас есть веб-служба, работающая на https, и идея состоит в том, чтобы получить доступ к этой службе только с частным IP-адресом виртуальной машины. Это означает, что я должен отключить общедоступный IP-адрес и удалить группу безопасности сети. Я борюсь с задачей найти, как сделать частный адрес виртуальной машины доступным из локальной сети при подключении к vpn. Может кто-нибудь поделиться идеями? Что мне не хватает? Заранее спасибо.

быстрое обновление темы.

1. Я предварительно сконфигурировал соединение и изменил маску шлюза на /27, чтобы он мог принимать виртуальную сеть.
2. Создал шлюз и связал его с виртуальной сетью.
3. Создал vpn и успешно подключился к устройству palo alto.

Проблема была в подсети шлюза.