authorization-attribute idle-cut

两个条件是【同时满足（逻辑与）】才会被切断下线： ① 走完minutes这个检测周期；并且②在这一段 minutes 周期内，用户总流量＜flow（字节）阈值 → 强制踢用户下线H3C。

不是满足其中一个就踢。

通俗解释

举例子：authorization‑attribute idle‑cut 30 10240

• 检测周期：30 分钟；最小流量阈值：10240 字节（默认值）

1. 如果用户不到 30 分钟就产生了大于 10240 字节流量：计时器重置，不踢下线；
2. 如果满 30 分钟周期，但是这 30 分钟里面流量≥10240 字节：不踢下线，计时器重新开始下一个 30 分钟周期；
3. 只有连续跑满 30 分钟周期，且这 30 分钟内总流量＜10240 字节，才判定为闲置，执行切断下线H3C。

注意区分另外一条：本地用户视图简单版idle‑cut xxx（不带 flow 参数），那条只看时间，超时直接踢，不做流量判断，和 ISP 域authorization‑attribute idle‑cut不是同一套逻辑，不要混淆H3C。

补充关键点

1. 流量统计是入 + 出双向总和（direction both），可修改方向；单位是字节，不是 bitH3C。
2. Radius 服务器下发的 idle‑cut 授权优先级高于 ISP 域下配置的authorization‑attribute idle‑cut，服务器授权优先生效H3C。
3. 只对 PPP、Portal、无线 lan‑access 接入用户生效；SSH/Telnet 设备管理登录用户不识别该授权属性。
4. 缺省 flow 值为 10240 字节；功能默认关闭。

容易踩坑误区

❌误区：“时间到就踢，或者流量小就踢，满足其一就断” ✅实际：必须时间周期跑完，同时该周期内流量不足两个条件同时成立，才会切断。用户就算流量几乎为 0，但还没跑完 minutes 时长，不会被踢下线。

验证查看在线用户生效参数：display connection，可以看到每个在线用户实际生效的 idle‑cut 时间、flow 阈值。

参考手册，根据命令判断，flow是配置idle-cut minutes的可选参数，那么匹配规则应该就是，先匹配指定用户的闲置切断时间，再匹配用户在闲置切断时间内产生的最小数据流量。

authorization-attribute命令用来设置当前ISP域下的用户授权属性。

同时满足