http://www.vpnazure.net/ja/
これをみると、ネットワークの管理者じゃなくても、グローバルIP不要、ポート開放の必要もなくファイアウォールを貫通して会社のネットワークに侵入できるみたいです
これって結局は会社のVPNサーバーがクライアントとなってAzureクラウドに接続してるから出来ることなんですか？

会社(クライアント)--Azureクラウド(鯖)
自宅(クライアント)--Azureクラウド(鯖)
という2つの接続を利用して、Azureクラウドが中継することで
自宅(クライアント)--会社(鯖)
を確立しているように見せかけてるって考え方でいいですか？