KillSwitch туннель означает блокировку доступа не через туннель, чтобы трафик случайно не утёк через стандартное подключение.
Делается путем инверсии правил Firewall:
Src. Address или Src. Address List (какие адреса должны выходить только с Tunnel и никак иначе)
!Out. Interface List (кроме интерфейса Tunnel)
Одним правилом запретили выход куда-угодно, кроме Tunnel интерфейса
/ip/firewall/filter
add action=drop chain=forward out-interface-list=!Tunnel src-address=192.168.0.10