Я правильно понимаю, что для того, чтобы отдать контент пользователю за файрволом, он должен быть УЖЕ предварительно закеширован на CDN (т.е. запрошен) кем-то, кто находится снаружи файрвола?
Нет. Кеширующая нода CDN работает так, что если запрошенный контент на ней отсутствует, она загружает контент из источника, кеширует и отдаёт клиенту. При этом, CDN-нода находится в стране, где источник не заблокирован (т.к. клиент специально выбирает не ближайшую к нему ноду).
Эксперимент CacheBrowser: обход китайского фаервола без прокси с помощью кеширования контента