Cisco ISEの「TrustSec Matrix」において、特定の送信元SGTと宛先SGTの組み合わせに対して「Deny IP」を設定した場合、そのポリシーはどこで施行(Enforcement)されるか。

そのポリシーはどこは宛先SGTを持つデバイスが接続されている出口(Egress)スイッチまたはルータ