DMVPN Phase 3を使用する場合、ハブ上での「ip nhrp redirect」コマンドと対になる、スポーク上で必要なコマンドはどれか。

Cisco ISEの「TrustSec Matrix」において、特定の送信元SGTと宛先SGTの組み合わせに対して「Deny IP」を設定した場合、そのポリシーはどこで施行（Enforcement）されるか。