Um firewall bloqueia TODA a conectividade fora do túnel VPN para garantir zero vazamentos de qualquer tipo se o VPN cair, enquanto um Killswitch ainda permite que pacotes saiam do seu dispositivo no intervalo entre o momento em que o VPN cai e o momento em que o(s) programa(s) que você está usando percebem que o VPN foi desconectado.
Um firewall é uma solução proativa, ao passo que um killswitch é uma medida reativa. Se a conexão VPN cair, não há nada a fazer, e nem um único pacote consegue sair da máquina, pois o firewall não vai permitir. Em termos de nerd, ele falha de forma fechada.