Un firewall bloquea TODA la conectividad fuera del túnel VPN para garantizar cero fugas de cualquier tipo si la VPN se desconecta, mientras que un Killswitch todavía permite que salgan paquetes de tu dispositivo en el lapso entre que tu VPN se desconecta y que el programa o los programas que estás usando se dan cuenta de que la VPN está desconectada.
Un firewall es una solución proactiva, mientras que un killswitch es una medida reactiva. Si la conexión VPN se cae, no hay nada que hacer, y ni un solo paquete puede salir de la máquina, porque el firewall no lo permitirá. En jerga geek, falla en estado cerrado.