No meu laptop Arch bastante atualizado, /tmp/.X11-unix/ é um diretório com uma entrada: X0 , um Unix soquete de domínio .
O servidor X11 (normalmente Xorg nos dias de hoje) comunica-se com clientes como xterm , firefox, etc., por meio de algum tipo de fluxo confiável de bytes. Um soquete de domínio Unix é provavelmente um pouco mais seguro que um soquete TCP aberto ao mundo, e provavelmente um pouco mais rápido, já que o kernel faz tudo, e não precisa depender de uma placa ethernet ou wireless.
Meu servidor X11 é exibido como:
bediger 294 293 0 Apr09 tty1 01:23:26 /usr/lib/xorg-server/Xorg -nolisten tcp :0 vt1 -auth /tmp/serverauth.aK3Lrv5hMV
O "-nolisten tcp" impede que ele abra a porta TCP 6000 para comunicações.
O comando lsof -U pode dizer quais processos estão usando quais soquetes de domínio Unix. Eu vejo Xorg como conectado a /tmp/.X11-unix/X0 .