попробуйте так:
на с2811:interface Tunnel21
изменить:
tunnel source <внешний_интерфейс>
добавить:
ip nhrp map multicast dynamic
ip mtu 1416
на с877:
interface Tunnel21
изменить:
tunnel source vlan2
ip nhrp map 192.168.254.1 <адрес внешн. инт. c2811>
no tunnel destination 192.168.99.1 (nhrp сделает это за нас)
добавить:
no ip redirects
ip mtu 1416
ip nhrp map multicast <адрес внешн. инт. c2811>
ip nhrp registration no-unique
попробуйте сперва без криптомап, тем более их надо вешать на внешние интерфейсы.
и еще надо нат на с2811 проверить, судя по дебагу, acl для ната надо подправить.