Connection refusedを調べてみると一般的には接続自体ができない状態になっている事例が多いです。SSHの問題、ポートが動的に変動してファイヤーウォールで遮断されたような...
「Connection refused」は、接続しようとしているポートが listen されていないことを示す TCP/IP メッセージです。
接続アプリケーション
もう一度設定をみたら、本番環境には接続アプリケーションは作成してませんでした。Sandboxだけに接続アプリケーションを設定しています。考えたら始めはSandboxで接続テストをやっていてうまくできなくて、色々触ってましたが、何故か本番環境は全く問題なかったので接続アプリケーションを作らなかったですね。
使っている連携ツールがSandboxに対する機能が今一つだからかもしれません。（本番環境と使えるコマンドが違う）
上記から考えると接続アプリケーションの有無はあんまり関係ないかもしれませんね。
確かにPostmanを使う時もプレイグランドでは指示に従って接続アプリケーションを作ったような気がしますが、同じPostmanのIdを使って本番環境にも問題なくアクセスできました（接続アプリケーションは作ってません）
気になる設定など
-
組織の信頼済み IP 範囲の設定
信頼済み IP 範囲で、携帯電話に送信されるコードなど、ID を確認するためのログインの問題が発生することなくユーザーがログインできる、IP アドレスのリストが定義されます。
- プロファイルでのログイン IP アドレスの制限
ユーザーのプロファイルで許可される IP アドレス範囲を指定することによって、ユーザーレベルでログインアクセスを制御します。プロファイルに IP アドレス制限を定義すると、その他のすべての IP アドレスからのログインは拒否されます。
- 信頼できる外部 URL に限定したリダイレクトの許可
信頼できる外部 URL へのリダイレクトのみを許可して、悪意のあるリンクからユーザを保護します。以前は、リンクで Salesforce 外にリダイレクトすることに関してユーザに警告することしかできませんでした。この変更は、最初に Summer '22 で導入されました。Winter '23 では、明確化のためにこのセッション設定の表示ラベルが更新されました。設定の表示ラベルが「Allow redirections to untrusted external URLs (信頼できない外部 URL へのリダイレクトを許可)」になり、オプションは [常に]、[With user’s permission (ユーザの権限がある場合)]、[ブロック] になりました。以前は、この設定の表示ラベルは「次へのリダイレクトを許可」であり、オプションは [すべての外部 URL]、[ユーザの権限があるすべての外部 URL]、[Only trusted URLs (信頼できる URL のみ)] でした。
- 信頼済み URL の管理
ユーザーやネットワークとのやりとりを信頼する URL を指定します。コンテンツセキュリティポリシー (CSP) ディレクティブを使用して、Lightning コンポーネント、サードパーティ API、WebSocket 接続で各信頼済み URL から読み込むことができるリソースの種別を制御します。[セッションの設定] で Permissions-Policy HTTP ヘッダーを有効にしている場合は、Salesforce からブラウザー機能にアクセスできる URL も制御できます。